Általában olyan híreket szokás olvasni a különféle szaklapokban, amelyek valamilyen konkrét telefongyártó készülékeit, vagy esetleg egy adott operációs rendszert vagy szoftvert érintő biztonsági problémára hívják fel a figyelmet, de a mostani eset bizony jóval nagyobb volumenű ezeknél, szinte minden telefont érint, amiben SIM kártya van.
Titkos, gonosz üzenetek a zsebünkben
A Simjacker névre keresztelt, nemrég felfedezett sérülékenység ugyanis egy olyan beépített szoftver hibáját használja ki, amely független a mobilok operációs rendszerétől, közvetlenül a SIM kártya kezelését végzi. Az S@T Browser (vagy teljes nevén SIMalliance Toolbox Browser) legalább 30 országban alapértelmezetten használatos megoldás, amit a mobilszolgáltatók telepítenek az általuk forgalmazott készülékekre, és ezzel juttatnak el alapvető szolgáltatásokat a telefonokra, például közvetlen, szolgáltatói üzeneteket, készülékfrissítési információkat és így tovább. Az AdaptiveMobile Security szerint viszont ez a szoftver kiválóan alkalmas arra, hogy csúnya, rossz illetők távolról rosszindulatú utasításokat is futtathassanak a mobilokon a felhasználó tudta nélkül.
Egy ilyen hiba felbukkanása már-már sorsszerű volt, hiszen míg mondjuk egy Androidot vagy iOS-t évente frissítenek (sőt, biztonsági frissítéseket év közben is többször kiadnak hozzájuk), a Simjacker által kihasznált beépített szoftvert 2009-ben frissítették utoljára.
Elegendő csupán 10 dollárt rákölteni egy alap GSM modemre, amellyel a SIM szoftver biztonsági résén keresztül, egyetlen SMS elküldésével átvehetik az irányítást a telefon fölött, és tényleg kifejezetten súlyos dolgokat tehetnek vele. Például a tulajdonos nevében bárkinek hamis, megtévesztő üzeneteket küldhetnek, de akár felhívhatnak a számunkról emelt díjas szolgáltatásokat is, amiről a legrosszabb esetben csak akkor értesülünk, amikor a következő hónapban egy brutális telefonszámára csodálkozunk rá. Ugyanígy távolról kiolvashatják a telefonunk összes alapadatát az IMEI számmal együtt, és megtudhatják aktuális helyzetünket.
Elvileg mindenki áldozat lehet
A sérülékenység hírét közlő szakemberek a részleteket egy október 3-i, londoni biztonsági konferencián tárják a nagyközönség elé, de annyit már elárultak, hogy a hiba teljesen márkafüggetlen, és már történtek is ilyen támadások a legnevesebb gyártók különféle telefonjaira a Samsungtól a Huawei-n, a ZTE-n, a Motorolán át egészen a Google és az Apple készülékeiig. Sőt, még SIM kártyát használó IoT eszközök is ugyanígy veszélyben lehetnek.
A szakértők még nem közölték, pontosan ki állhat a Simjacker kifejlesztése mögött, de már legalább két éve bukkannak fel erre épülő visszaélések a világban. Utalásokból annyit lehet még sejteni, hogy eredetileg bűnözők és terroristák nyomon követésére és lekapcsolására készíthették, és valamilyen kormányzati kapcsolata is van a fejlesztőknek, valamint ilyen visszaélést már Kelet-Európában is használtak.
Mit tehetünk a Simjacker ellen?
Na, most jön a feketeleves, mert bizony semmit. A SIM kártya beépített szoftverét manuálisan nem lehet frissíteni vagy átalakítani, és egyelőre nincs olyan szoftver vagy patch sem, amely mondjuk az operációs rendszer felől letiltaná vagy korlátozná a működését. Szóval egyelőre csak annyit lehet csinálni, hogy reménykedünk a szolgáltatók gyors reagálásában és az S@T Browser tíz év utáni befoltozásában. Addig esetleg érdemes néha megnézni az SMS-ek és a hívások naplóját, nincs-e benne valamilyen gyanús elem, és a telefon minden rendellenesnek tűnő viselkedését rögtön jelezni a szolgáltatónk felé.
