10 Shares 3989 Views 1 Comments

Descubren una vulnerabilidad que pone en riesgo la seguridad de smartphones Android como Samsung, Huawei, LG y Sony

10 septiembre, 2019
10 Compartido 3,989 Visualizaciones 1

El equipo de investigadores de Check Point Research ha descubierto un fallo de seguridad en teléfonos Samsung, Huawei, LG, Sony y otros dispositivos Android.

Esta vulnerabilidad ha sido catalogada como crítica ya que, según datos de Statcounter, la venta de dispositivos móviles correspondientes a Samsung, Huawei, LG y Sony supusieron alrededor del 50% del total de smartphones Android vendidos a los largo de 2018.

Los teléfonos Android afectados utilizan aprovisionamiento por vía aérea (OTA), a través del cual los operadores de redes móviles pueden desplegar configuraciones específicas de red en cada nuevo teléfono que se une a su red. Sin embargo, Check Point Research descubrió que el protocolo
estándar del sector para el aprovisionamiento OTA, el Open Mobile Alliance Client Provisioning (OMA CP), incluye métodos de autenticación limitados. En este contexto, un cibercriminal puede, de forma remota, aprovechar esta situación para suplantar la identidad de cualquier operador de red y enviar falsos mensajes OMA CP a los usuarios, con el objetivo de engañarles para que acepten configuraciones maliciosas que, por ejemplo, enrutan su tráfico de Internet a través de un servidor
proxy propiedad del hacker.

Los investigadores han determinado que ciertos modelos de la marca Samsung son los más vulnerables a esta forma de ataque de phishing porque no tienen un control de autenticidad para los remitentes de mensajes OMA CP. El usuario sólo necesita aceptar el CP y el software malicioso se instalará sin que el remitente tenga que probar su identidad. Por el contrario, los dispositivos de marcas como Huawei, LG y Sony sí tienen una forma de autenticación, pero los hackers sólo
necesitan el código de identificación único para cada dispositivo de telefonía móvil integrado en la tarjeta SIM (International Mobile Subscriber Identity, IMSI) del destinatario para confirmar su identidad. Un cibercriminal puede obtener este código de varias maneras, ya sea creando una aplicación Android no autorizada que lee el IMSI de un teléfono una vez instalada, o enviando al usuario un mensaje de texto haciéndose pasar por el operador de red y pidiéndole que acepte un
mensaje OMA CP protegido por un pin. De esta forma, si el usuario introduce el número PIN proporcionado y acepta el mensaje OMA CP, el CP puede instalarse sin un IMSI.

«Dada la popularidad de los dispositivos Android, se trata de una vulnerabilidad crítica que debe ser abordada», comenta Slava Makkaveev, Investigador de Seguridad de Check Point Software Technologies. «La falta de sistemas de autenticación más fuertes hacen que para los ciberatacantes
sea más fácil lanzar un ataque de phishing a través del aprovisionamiento por vía aérea. Cuando el usuario recibe un mensaje OMA CP, no tiene forma de discernir si proviene de una fuente confiable, por lo que al pinchar en la opción de aceptar podría abrir la puerta de su teléfono móvil a un
desconocido”, añade Makkaveev.

Los investigadores de Check Point compartieron en marzo sus hallazgos con los distintos proveedores afectados. Samsung incluyó una solución para este flujo de phishing en su versión de mantenimiento de seguridad de mayo (SVE-2019-14073), LG lanzó su solución en julio (LVE-SMP-
190006), y Huawei planea incluir soluciones de interfaz de usuario para OMA CP en la próxima generación de smartphones de la serie Mate o de la serie P. Sony, por su parte, se negó a reconocer la vulnerabilidad, afirmando que sus dispositivos siguen la especificación OMA CP.

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

WiZink compra la fintech española Aplazame
Actualidad
33 compartido3,017 visualizaciones
Actualidad
33 compartido3,017 visualizaciones

WiZink compra la fintech española Aplazame

José Luis - 3 agosto, 2018

Aplazame, start-up de financiación instantánea para compras online, seguirá operando como compañía independiente. WiZink, banco especializado en soluciones sencillas de…

Los 10 proyectos finalistas de Ciberemprende comienzan su fase de formación presencial en León
Actualidad
6 compartido1,341 visualizaciones
Actualidad
6 compartido1,341 visualizaciones

Los 10 proyectos finalistas de Ciberemprende comienzan su fase de formación presencial en León

Alicia Burrueco - 23 enero, 2020

Durante dos semanas reforzarán sus conocimientos y competencias para el desarrollo de sus iniciativas Los 10 proyectos finalistas del certamen…

El 15% de las empresas ha sufrido algún tipo de incidente de seguridad en sus entornos de nube pública
Actualidad
12 compartido1,444 visualizaciones
Actualidad
12 compartido1,444 visualizaciones

El 15% de las empresas ha sufrido algún tipo de incidente de seguridad en sus entornos de nube pública

Alicia Burrueco - 3 octubre, 2019

El Informe de Seguridad Cloud 2019 de Check Point identifica los retos de seguridad de las empresas en entornos cloud…

Un comentario

  1. Pingback: Noticias sobre Ciberseguridad Septiembre 2019 - Satec

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.