Ook Android-smartphone gehackt tijdens Pwn2Own
Naast de iPhone 4S is tijdens Pwn2Own Mobile in Amsterdam ook een Android-smartphone gehackt. Beveiligingsbedrijf MWR Labs demonstreerde een zero-day exploit tegen een Samsung Galaxy S3 smartphone met Android 4.0.4. Via NFC wisten de onderzoekers een kwaadaardig bestand te uploaden, waardoor het mogelijk is om willekeurige code uit te voeren. Via een tweede kwetsbaarheid konden de onderzoekers hun rechten verhogen en zo volledige controle over het toestel krijgen.
Controle
"Hetzelfde lek is ook te misbruiken via andere aanvalsvectoren, zoals een kwaadaardige website of e-mailbijlage", laten de onderzoekers in een blogposting weten. De eerste kwetsbaarheid betreft 'memory corruption', die beperkte controle over de telefoon geeft. "We hebben dit lek 185 keer in onze exploitcode aangeroepen om sommige van de door ons opgelegde beperkingen van het lek te overkomen."
Via het tweede lek werden de rechten verhoogd en een aangepaste versie van Mercury geïnstalleerd. Een door MWR Labs ontwikkeld 'assessment framework', waarmee in dit geval gegevens van het toestel werden gestolen. Ook was het mogelijk om het toestel dure nummers te laten bellen.
Bescherming
De onderzoekers stellen dat ze door tekortkomingen in de beveiligingsmaatregelen van Android 4.0.4, zoals Address Space Layout Randomisation (ASLR) en Data Execution Prevention (DEP), de aanval konden uitvoeren. Verder blijkt de ASLR implementatie in Android 4.0.4 onvolledig is, en niet Bionic (Android’s linker) en het /system/bin/app_process dekt, die voor het starten van applicaties op het toestel verantwoordelijk zijn.
"Andere bescherming die misbruik lastiger maakt bleken ook te ontbreken", laten de onderzoekers weten. Zodra Google het lek patcht komt er een uitgebreidere uitleg. Gisteren wist het Nederlandse Certified Secure de iPhone 4S te hacken.
ASLR wordt wel een stuk beter in Jelly Bean, maar gezien de update history van oude Android toestellen hoeft de wereld daar vrij weinig van te verwachten. Gelukkig (ter relativering) is NFC niet breed beschikbaar op oude toestellen, dus dat beperkt de potentiele schade weer.
Aanvalsvectoren via netwerkverkeer zijn een nachtmerrie voor de betrouwbaarheid van een platform.
http://www.esecurityplanet.com/mobile-security/black-hat-nfc-equipped-smartphones-vulnerable-to-attack.html
Nu lijkt NFC alleen al voldoende om de telefoon over te nemen.
Nu lijkt NFC alleen al voldoende om de telefoon over te nemen.
The same vulnerability could also be exploited through other attack vectors, such as malicious websites or e-mail attachments.
Ik zou toch zeggen dat het hier om hetzelfde probleem gaat. Via NFC een Webkit bug misbruiken. Omdat de exploit (de Pwn2Own versie) ook via andere vectoren (websites, email) te misbruiken is vermoed ik dat het dan om Webkit gaat.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.