Mobilne zagrożenia Artur Maj, Prevenity Agenda Telefony komórkowe Rys historyczny Mobilne systemy operacyjne Bezpieczeństwo urządzeń smartphone Smartphone w bankowości Zagrożenia dla bankowości Demonstracja przejęcia konta bankowego Nasze rekomendacje 1
Rys historyczny 1980 1982 1990 2000 2005 2007 Mobilne systemy operacyjne Windows Mobile 6,80% Linux 3,70% Inne 0,70% Android 9,60% Apple ios 15,40% BlackBerry 19,40% Symbian 44,30% Źródło: Gartner, Worldwide Smartphone Sales 1Q 2010 2
Bezpieczeństwo urządzeń smartphone Poziomy uprzywilejowania Kontrola dostępu (ACLs) Oprogramowanie antywirusowe, antyspamowe, personal firewall de facto standard Uproszczone poziomy uprzywilejowania* Ograniczone możliwości kontroli dostępu* Oprogramowanie bezpieczeństwa rzadko stosowane Słabości bezpieczeństwa urządzeń smartphone Słabości technologii (GSM, Bluetooth itp.) Luki bezpieczeństwa w systemie operacyjnym Luki bezpieczeństwa w aplikacjach Luki w oprogramowaniu mobilnych systemów operacyjnych, źródło: OSVDB 3
Metody infekcji smartphone Synchronizacja z PC Active Sync, Nokia PC Suite itp. Przeglądarka WWW Wiadomości E-mail SMS, MMS, WAP Push Instalowane aplikacje Karty pamięci Sieć bezprzewodowa 3G, EDGE/GPRS, UMTS, Wi-Fi, Bluetooth itp. Mobile malware Przyszłość czy rzeczywistość? 4
Mobile malware (c.d.) Mobile malware (c.d.) Rozwój mobile malware 5
Mobile malware (c.d.) Przykłady Konie trojańskie SymbOS/AppDisabler SymbOS/Cabir SymbOS/Skulls Wirusy i robaki SymbOS/Beselo SymbOS/Commwarrior SymbOS/Mabir iphoneos/ikee WinCE.InfoJack Spyware SymbOS/Flexispy SymbOS/Mopofeli Smartphone w bankowości 6
Smartphone w bankowości Popularne sposoby wykorzystania telefonu w bankowości elektronicznej: Możliwość zlecania i realizacji transakcji Uwierzytelnianie użytkowników Uwierzytelnianie transakcji bankowych Alarmy i powiadomienia (SMS) Mikropłatności (SMS, USSD) Zastosowania wydają się bezpieczne Smartphone w bankowości (c.d.) lecz tak się tylko wydaje 7
Smartphone w bankowości (c.d.) Infekcja telefonu poważnym zagrożeniem dla bankowości internetowej W połączeniu z infekcją PC realne zagrożenie utraty nawet wszystkich środków finansowych z konta bankowego nieświadomego użytkownika Przykłady ataków: Przekierowanie wiadomości tekstowych Zdalny, nieautoryzowany dostęp do GUI telefonu Smartphone w bankowości (c.d.) Przekierowanie wiadomości tekstowych Nieświadomy użytkownik Atakujący Operator telekomunikacyjny 8
Smartphone w bankowości (c.d.) Zdalny dostęp do GUI telefonu Przykładowy scenariusz ataku Infekcja PC i smartphone Krok 1 Infekcja komputera PC oprogramowaniem złośliwym Zero-day exploit Zainfekowany dokument PDF Dziurawa przeglądarka Luka w Adobe Flash Koń trojański w oprogramowaniu 9
Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 2 Infekcja urządzenia smartphone podczas synchronizacji danych z PC Automatycznie Kilka wersji oprogramowania na różne systemy mobilne Ręcznie Intruz tworzy i przesyła oprogramowanie pod konkretne urządzenie mobilne Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 3 Oprogramowanie złośliwe przesyła dane do konta bankowego atakującemu Adres URL banku internetowego Dane pozyskane z keylogger a: Login użytkownika Hasło użytkownika Dane pozyskane z telefonu: Numer i typ telefonu 10
Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 4 Atakujący zdalnie uaktywnia usługę przekierowywania wiadomości SMS Od tego momentu wszystkie SMS y są przekierowywane na telefon atakującego bez świadomości użytkownika Kody potwierdzające transakcje Alarmy i notyfikacje Przykładowy scenariusz ataku (c.d.) Infekcja PC i smartphone (c.d.) Krok 5 Atakujący przeprowadza nieautoryzowane transakcje Czym dysponuje atakujący? Adresem banku internetowego Login em do konta użytkownika Hasłem użytkownika Kodami potwierdzającymi transakcje 11
Przykładowy scenariusz ataku (c.d.) Czy transakcje zostaną zrealizowane? Czy systemy antyfraud owe wykryją oszustwo? Czy bank może zapobiec oszustwu? Przykładowy scenariusz ataku (c.d.) Wiele różnych możliwych wariantów ataku: Wykorzystanie API telefonu bezpośrednio z PC Zdalny dostęp do GUI telefonu poprzez sieć bezprzewodową (a la Remote Desktop) Infekcja tylko urządzenia smartphone 12
Przykładowy scenariusz ataku (c.d.) Wiele różnych celów ataku: Potwierdzenia transakcji Aplikacje pobierane i instalowane w pamięci telefonu Aplikacje na karcie SIM Programowe tokeny uwierzytelniające Mikropłatności USSD Mikropłatności SMS Alarmy i notyfikacje Przykładowy scenariusz ataku (c.d.) Mechanizmy bezpieczeństwa można ominąć: Jednorazowe hasła zdrapki Sprzętowe tokeny uwierzytelniające Programowe tokeny uwierzytelniające Klawiatury wirtualne Mechanizmy captcha Tokeny PKI 13
Demonstracja Przejęcie konta bankowego na przykładzie infekcji MS Windows Mobile Atak łatwy czy skomplikowany? 14
Podsumowanie Smartphone = komputer Skutki udanego ataku na smartphone mogą być groźniejsze niż infekcja komputera PC Dobre i złe wiadomości (z punktu widzenia bezpieczeństwa) Podsumowanie Dobre wiadomości: Użytkownicy telefonów starszego typu nie są podatni na tego typu ataki Część użytkowników wykorzystuje tylko funkcje głosowe i co najwyżej SMS Tylko część użytkowników synchronizuje telefon z PC Różnorodność mobilnych systemów operacyjnych i ich wersji komplikuje przeprowadzenie udanego ataku Systemy operacyjne różnią się możliwościami stwarzanymi dla oprogramowania złośliwego 15
Złe wiadomości: Podsumowanie (c.d.) Udział w rynku telefonów typu smartphone rośnie z każdym kwartałem Wraz ze wzrostem popularności może również wzrosnąć liczba odkrywanych słabości i metod infekcji Korzystanie przez użytkownika z funkcji internetowych smartphone może nie mieć znaczenia (np. luki MMS) Używanie oprogramowania bezpieczeństwa na telefonach komórkowych wciąż mało popularne Nasze rekomendacje Rozważenie zastosowania alternatywnych metod uwierzytelniania transakcji elektronicznych Traktowanie urządzeń smartphone jako urządzeń niezaufanych (podobnie jak PC) Uwzględnienie zagrożeń wynikających z zastosowania urządzeń mobilnych w procesie szacowania ryzyka Budowanie świadomości użytkowników do stosowania zasad bezpieczeństwa również w odniesieniu do telefonów komórkowych 16
Kontakt artur.maj@prevenity.com 17