"Nokia update" vaarantaa mobiilivarmennuksen
12
Espanjalainen S21sec havaitsi tunnetun Zeus-haittaohjelmaperheen saaneen uuden jäsenen. Kännyköihin iskevä Zeus Mitmo seuraa tekstiviestejä ja yrittää varastaa rahaa pankista.
Hyökkäys vaatii, että rikolliset ovat saaneet haltuunsa uhrin online-käyttäjätunnuksen ja salasanan. Zeus on onkinut näitä pitkään, mutta uusi variantti kyselee myös tietoja käyttäjän matkapuhelinmallista.
Tietojen perusteella puhelimeen saapuu tekstiviesti, joka Symbian-laitteissa ohjaa asentamaan Nokia update -nimisen "turvallisuussertifikaatin". Se on haittaohjelma, joka päästää ohjaamaan saapuvia tekstiviestejä eteenpäin huomaamatta toiseen päätelaitteeseen. Tätä S21sec kutsuu "man-in-the-mobile" -hyökkäykseksi.
Rikolliset voivat haittaohjelman avulla ohittaa eri yritysten, kuten joidenkin pankkien, käyttämän ylimääräisen sms-suojakeinon. Konnat voivat kirjautua sisään verkkopalveluihin uhrin käyttäjätunnuksen ja salasanan avulla. Nyt he voivat lisäksi ohittaa tekstiviestivarmennuksen.
Samasta haittaohjelmasta on olemassa myös BlackBerry-laitteisiin kohdistuva versio.
F-Secure
vahvistaa
Suomalainen F-Secure on tutkinut Symbian-haittaohjelman ja vahvistaa S21secin havainnot. Symbian-hyökkäyksen käyttämä komentopalvelin ei F-Securen mukaan ole enää toiminnassa, mutta kaikesta päätellen kyseessä ei ollut kertaluoteinen harrastelijan tempaus.
– Tämän ovat kehittäneet henkilöt, joilla on erinomainen ymmärrys mobiilisovelluksista ja sosiaalisesta manipuloinnista. Odotamme heidän jatkavan haittaohjelman kehittämistä, F-Securen Sean Sullivan kirjoittaa.
F-Securen mukaan Zeus Mitmo varastaa mTan-numeroita (mobile transaction authentication number). Jotkut pankit Keski-Euroopassa käyttävät näitä numeroita osana varmennusta.
Kommentit (12)
Paljon helpompaa on luoda Android Marketiin haittakoodia sisältä sovellus, koska Marketissa olevia sovelluksia käytännössä ei mikään luotettava taho valvo.
Toinen haittohjelmille otollinen alusta mielestäni on Maemo/tuleva MeeGo, jossa siinäkään ei valvontaa mielestäni ole riittävästi. Luot ensin sovelluksen, joka hyväksytään ja sitten teet siihen päivityksen, joka muuttaa koodia tihutyöhön sopivaksi. Vahinkoa ehtii varmasti kertyä ennen kuin vahinko huomataan.
Applen AppStore on petrannut muutamien varoittavien esimerkkien jälkeen, mutta en luottaisi siihenkään täydellisesti.
Tällä hetkellä koko mobiilimaailma on enemmän kuin otollinen paikka luoda haittaohjelmia. Siksi kannattaa asentaa päivitykset, kun ne tulevat saatavilla ja toisaalta olla varovainen, mitä mobiililaitteeseensa (kännykkä jne.) asentaa.
Lisälukemista Android Marketista ja Appla AppStoresta:
"Understanding the Android Market security system"
http://www.downloadsquad.com/2010/06/28/understanding-the-android-market-security-system/
"Security tool highlights Android app store security issues"
http://www.techcentral.ie/article.aspx?id=15457
"Apple bolsters App Store security in wake of developer fraud"
http://www.fiercemobilecontent.com/story/apple-bolsters-app-store-security-wake-developer-fraud/2010-07-07
Nokian Symbian käyttöjärjestelmässähän on erittäin toimiva "Private Folder" ominaisuus, joka mahdollistaa sovellusten tallentaa omat tietonsa kansioon johon muilla applikaatioilla tai käyttäjällä ei ole mahdollisuutta päästä.
Vielä parempi tietoturvan kannalta on sovellusten allekirjoittaminen, eli puhelimeen ei voi asentaa mitään sovellusta jota Nokia ei olisi allekirjoittanut ja näin kaikki sovellukset käyvät ainakin jonkulaisen seulan kautta.
Mutta tämä kaikki ei pois sulje etteikö aukkoja olisi, niitä on joka käyttiksessä enemmän tai vähemmän.
Olkaa ihmiset tarkkoina kuin käytätte puhelintanne ja yleensäkin nettiselatessa, että mihin tietojanne syötätte.
Mutta olisiko paikallaan antaa yhtäläistä huomiota myös tietoturva- ja yksityisyyspuoleen? Hurjan suosion myötä on alkanut paljastua karu totuus, kuinka puolitiessään em. seikoista huolehtiminen Androidissa on.
Applen iPhone ei ole paljoakaan jäljessä Androidissa tämän suhteen. Toki tekevät pyydettäessä parannuksia, mikä on positiivista. Mutta eikö jutut kannattaisi tehdä hyvin jo alusta alkaen (nimim. laastaria puhelimen kylkeen niin jopas alkaa kuulua).
Tässä valossa Symbian ei vaikuta enää yhtään niin huonolta vaihtoehdolta. Mitä siitä, vaikka sovelluksia on Storessa vain muutamia - pääasia että ne on tarkistettuja ja turvallisiksi todistettuja.
Vanhahtava käyttöliittymä ei ole vika, mutta vaikuttaa sekin käyttökokemukseen.
Puhelimia ei ole tähänkään asti ostettu turvallisuuden perusteella. Uutisessa mainittu hyökkäys ei edes toimi suomalaisten pankkien tunnistussysteemeillä.