Briefing de segurança: todas as informações que sabemos sobre a exploração do USSD

Ontem, foi descoberto um problema de segurança do Android que acabou sendo mais sério do que pensávamos originalmente. Não apenas a Samsung, mas vários outros fabricantes de smartphones Android são afetados. Aqui, damos-lhe uma visão geral da situação.

Paciente 0:

No dia 21 de setembro, o desenvolvedor indiano Ravi Borgaonkar realizou uma conferência de segurança em Buenos Aires, intitulada “O abuso de códigos USSD em redes móveis”. Para demonstrar os sérios problemas de segurança associados aos códigos USSD, ele limpou um Galaxy S2, simplesmente clicando em um link em um site malicioso.

Link para o vídeo

Como isso aconteceu?

Borgaonkar digitou o código USSD *2767*3855# em seu Galaxy S2, que redefiniu seu telefone para as configurações de fábrica; um processo que é executado de forma diferente em diferentes modelos Android. Em alguns, como o HTC One X, o dispositivo pergunta se você deseja ou não excluir todos os seus aplicativos e restaurar o telefone às configurações de fábrica ou se deseja fazer isso E excluir todas as suas fotos, músicas e arquivos pessoais salvos para o cartão SD. No Galaxy S3, o processo (apenas) exclui todos os seus aplicativos, dados de aplicativos do sistema e configurações.

Afinal, o que é um código USSD?

Um código USSD é inserido nos telefones para realizar ações. Eles são usados ​​principalmente por operadoras de rede para fornecer aos clientes o fácil a serviços pré-configurados, incluindo encaminhamento de chamadas, consultas de saldo e várias funções do SIM. Esses atalhos também são usados ​​por muitos fabricantes para controlar as funções do sistema. Mas eles são principalmente destinados ao uso interno e, portanto, raramente comunicados ao usuário.

Onde está o buraco de segurança?

Normalmente, ao inserir um código USSD, você deve inseri-lo no teclado do telefone e tocar no botão de chamada. Mas o código do Borgaonkar pula essa etapa e é executado automaticamente em segundo plano, sem que o usuário perceba nada.

O código USSD vincula o navegador ao aplicativo de telefone. Isso significa: quando clico em um número de telefone no meu navegador, o aplicativo do telefone abre com o número clicado anteriormente e só preciso clicar no botão “ligar”.

O código HTML para executar tal ação é o seguinte:

Clique aqui para nos ligar diretamente

Agora, só preciso substituir o “xyz” pelo código USSD *2767*3855#, e o código HTML se torna muito mais nefasto:

Clique aqui para nos ligar diretamente a>

O comando acima assume que o usuário clica no link, para que o aplicativo de telefone seja iniciado. Borgaonkar incorporou este comando em um quadro, que se parece com isso:

frameset>

Agora, se esse código estiver embutido em um site e o smartphone visitar o site, o telefone discará imediatamente e sem mais perguntas para esse número. Mas isso em si ainda não é o problema, já que normalmente o usuário teria que tocar explicitamente no botão de chamada para discar o número.

Mas a brecha de segurança é pior do que isso, pois a chamada é realizada imediatamente em segundo plano, sem nenhuma confirmação necessária pelo usuário. Em vez disso, a chamada é feita secretamente. E se se esconder atrás do número não for um número de telefone, mas um atalho USSD correspondente, há um problema. Na demonstração da Borgaonkar isso significa que o Galaxy S2 pode visitar um site malicioso e iniciar imediatamente a redefinição de fábrica sem que o usuário saiba o que está acontecendo.

Portanto, este não é apenas um problema da Samsung, mas também um problema do Android?

Sim. A execução de códigos USSD em segundo plano por meio de um site malicioso parece ser um problema entre fornecedores. A Samsung só teve a infelicidade de ser o boneco de teste. As pessoas já demonstraram o problema nos telefones Motorola e HTC também.

Existem outros pontos de entrada?

Sim, qualquer aplicativo que tenha o ao seu navegador pode realizar essa ação automaticamente por meio de um site. Ele pode realizar a ação através de códigos QR, tags NFC e mensagens WAP Push.

Quais telefones são afetados?

Tanto o fabricante quanto a versão do Android são relevantes para saber se o dispositivo está ou não em risco. Os dispositivos que executam o Android 4.1 Jelly Bean parecem não ser afetados. No entanto, os dispositivos que executam o Android 4.0.1 e 4.0.3 demonstraram estar em risco. Se o código USSD é ado via Chrome ou navegador nativo do Android também parece ter um efeito no resultado.

Esses dispositivos a seguir são conhecidos por terem a falha de segurança:

• Samsung Galaxy S3 rodando Android 4.0.4
• Samsung Galaxy s2
• Samsung Galaxy Ace, Beam e S Advance
• HTC One W
• HTC One X
• HTC Sensation (XE) com Android 4.0.3
• HTC Desire HD
• Legenda HTC
• HTC Desire Z
• Marco da Motorola
• Motorola Atrix 4G
• Motorola Razr rodando Android 2.3.6
• Huawei Idéias

Para saber se o seu telefone também é afetado (sem colocar seu telefone em perigo real), basta visitar este site referido por Borgaonkar: http://www.isk.kth.se/~rbbo/testussd.html Se o seu telefone então exibe imediatamente um número IMEI e, em seguida, seu modelo executa comandos USSD em segundo plano em seu telefone sem avisá-lo.

Como posso proteger meu telefone?

Instale um aplicativo de discagem. Se você instalar um discador alternativo, sempre deverá receber uma mensagem perguntando qual aplicativo de telefone deseja usar para executar a chamada. Você deve ter cuidado para não definir nenhum discador como padrão, para que a caixa de diálogo sempre apareça. Essa etapa extra pode impedir que o código USSD funcione.

Além disso, o desenvolvedor e membro da comunidade AndroidPIT, Joerg Voss, também criou uma pequena ferramenta que emula esse discador e deve impedir que o código funcione automaticamente, para que você possa se proteger contra esses ataques sem precisar baixar um discador completo. Você pode instalar o NoTelURL diretamente da Google Play Store.

Por enquanto, não há soluções mais elegantes. Os fabricantes devem fornecer atualizações. Nesse sentido, a Samsung já anunciou um patch para os modelos ainda afetados.

Em conclusão, qual é o risco para o meu telefone?

O risco é que, ao visitar um site, um código USSD comece a ser executado em segundo plano, o que é, sem dúvida, uma grave violação de segurança. No entanto, você não deve entrar em pânico ainda: até agora, não se conhece nenhum caso em que essa violação de segurança tenha sido explorada.