0
雷鋒網9月7日消息，Check Point研究人員發現，大量Android手機存在雙因素身份驗證漏洞，該漏洞可能令設備遭受到sim交換攻擊。
據悉，這些易受攻擊的安卓機型包括三星，華為，索尼和LG，這些手機允許攻擊者強制獲取權限并訪問用戶信息。
2018年統計數據顯示，易受攻擊的手機占所有Android手機總數的50％，被利用的技術稱為空中配置（OTA），蜂窩網絡通常使用它來更新用戶電話上的網絡設置。因為該技術只需要一個入口即可完成運作，因此它的易用性受歡到廣泛歡迎。
那么，攻擊者是如何通過網絡釣魚的方式實現攻擊的呢？
首先，當出現建議的設置消息時，人們自然傾向于認為它們來自合法的權威機構。但是，由于開放移動聯盟客戶端配置（OMA CP）協議中包含的行業標準，沒有實際的方法來驗證它的來源，這種模糊性被攻擊者用于釣魚。
他們發送聲稱是蜂窩網絡的OTP消息，當一個倒霉的用戶接受它們時，他們基本等同于同意黑客開放他們的處理信息通道，隨之手機會以這種方式被黑客入侵。
在受到攻擊后，攻擊者可以更改的設置包括瀏覽器主頁和書簽、郵件服務器、代理地址等等。構建這種攻擊所需的設備并不昂貴，這也使其對更廣泛的黑帽黑客具有吸引力。
正如 Check Point 所說：“要發送OMA CP消息，攻擊者需要GSM調制解調器（10美元USB加密狗或以調制解調器模式運行的電話）用于發送二進制SMS消息，以及簡單的腳本或現成的軟件，撰寫OMA CP，這整個過程看起來十分省錢。”
上述提到的手機廠商在3月份被告知這些安全漏洞的存在。目前，三星和LG分別在5月和7月發布了補丁，華為計劃在下一代Mate系列或P系列智能手機上發布該補丁。
另一方面，索尼尚未對漏洞做出修補，并拒絕一切基于標準措施的修改行為。此外，Check Point的研究人員成功測試了不同機型上存在的漏洞，包括華為P10，索尼Xperia XZ Premium，LG G6和三星Galaxy S9。
值得注意的是，在這些品牌中三星手機最容易受到影響，因為它們完全沒有信息真實性檢測機制。
參考來源：hackread
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
