Check Point odhalil v čipech Qualcomm přes 400 zranitelností

27. 8. 2020. (redaktor: František Doupal, zdroj: Check Point)
Výzkumný tým společnosti Check Point odhalil více než čtyři stovky zranitelných částí kódu DSP čipu Qualcomm, což se týká více než 40 % telefonů po celém světě. DSP čip Qualcommu je téměř ve všech telefonech Android, včetně špičkových modelů od společností Google, Samsung, LG, Xiaomi, OnePlus a dalších.

Výzkumný tým kyberbezpečnostní společnosti Check Point popsal významná bezpečnostní rizika spojená s více než 400 zranitelnostmi v Qualcomm DSP čipu ve výzkumné zprávě označené jako „Achilles“:

1. Špionáž. Útočníci mohou proměnit libovolný Android telefon v dokonalý špionážní nástroj. Uživatelé mohou přijít například o fotografie, videa, údaje o poloze nebo lze telefon zneužít k odposlouchávání pomocí mikrofonu nebo k nahrávání hovorů.

2. „Zamrznutí“ telefonu. Útočníci mohou s využitím zranitelností udělat mobilní telefon nefunkční. Všechny informace uložené v telefonu tak budou trvale nedostupné - včetně fotografií, videí, kontaktních údajů atd.

3. Maskování škodlivých aktivit. Hackeři mohou pomocí zranitelností zamaskovat své útoky a škodlivé aktivity a zajistit, aby malware nešel ze zařízení odstranit.

Pro zneužití zranitelností stačí hackerům jednoduše přesvědčit oběť k nainstalování neškodné aplikace, která nepotřebuje žádná oprávnění.

Definice DSP

DSP je zkratka pro digitální signálový procesor. DSP se zaměřuje na práci se signály v reálném čase a jejich přeměnu na zpracovatelná data. DSP technologie najdete uvnitř sluchátek, chytrých telefonů, chytrých reproduktorů, automobilů a řady dalších zařízení. DSP v chytrém telefonu například dekóduje soubory MP3, u písniček vylepšuje basy, pomáhá s výpočty pro aktivní potlačení šumu a rozpoznává váš hlas, když řeknete „Ahoj, Google!“. Jednoduše řečeno lze DSP přirovnat k samostatnému počítači v těle jednoho čipu. A téměř každý moderní telefon má alespoň jeden z těchto čipů.

DSP jako nový útočný vektor

Check Point upozorňuje, že DSP je pro hackery lákadlem a novou cestou, jak proniknout do mobilních zařízení. DSP čipy jsou mnohem zranitelnější, protože jsou spravovány jako „černé skříňky“ a je tak pro kohokoli mimo výrobce složité zkontrolovat design, funkčnost nebo kód.

Check Point odpovědně o zranitelnostech informoval Qualcomm a informováni byli i příslušní výrobci mobilních telefonů.

Check Point se rozhodl nezveřejnit technické detaily, dokud výrobci mobilních telefonů nebudou mít komplexně vyřešené odstranění všech souvisejících rizik. Zároveň je ale důležité na problém upozornit. S detailními informacemi byli kontaktováni příslušní vládní úředníci a mobilní výrobci a Check Point s nimi spolupracuje na zvýšení bezpečnosti mobilních telefonů. Zároveň výzkumný tým Check Point Research nabízí spolupráci všem dodavatelům zabezpečení, kteří o takovou spolupráci budou mít zájem. Check Point proaktivně nabízí organizacím, které mohou být těmito zranitelnostmi ohroženy, 20 bezplatných licencí SandBlast Mobile pro správu mobilních zařízení, aby byly chráněné a předcházely případným škodám. Zmíněné zranitelnosti se netýkají iPhonů.

„Ačkoli Qualcomm problém vyřešil, celý příběh tím zdaleka nekončí, v ohrožení jsou stovky milionů telefonů. Hrozí špehování nebo ztráta dat. Náš výzkum ukazuje, jak složitý je mobilní ekosystém. Dodavatelský řetězec je velmi široký, takže není snadné odhalit a opravit skryté hrozby, naštěstí jsme tentokrát dokázali nebezpečné zranitelnosti odhalit. Ovšem předpokládáme, že úplné odstranění souvisejících problémů a rizik může trvat měsíce nebo i roky. Pokud by takové zranitelnosti nalezli a zneužili kyberzločinci, miliony uživatelů by byly snadným terčem,“ uvedl Petr Kadrmas, Security Engineer Eastern Europe ve společnosti Check Point. „Nyní je na výrobcích, jako jsou Google, Samsung, Xiaomi a další, aby integrovali záplaty do svých telefonů. Podle našich odhadů to ovšem bude chvíli trvat. Proto nyní vzhledem k vysokému riziku nezveřejňujeme plné technické detaily, aby se nedostaly do nesprávných rukou. Uživatelé nemusí jen pasivně čekat, až výrobci záplaty implementují, protože Check Point nabízí ochranu i před zneužitím těchto zranitelností pomocí komplexního mobilního bezpečnostního řešení.“

Podobné články

Seznamte se s novinkami Huawei a vyhrajte chytré hodinky

19. 10. 2020. (redaktor: Reseller Magazine OnLine, zdroj: Entec Solutions)
Pokud se 29. 10. 2020 připojíte na webinář společnosti Huawei věnovaný řešení iMaster NCE-Campus, dozvíte se nejen o zajímavých novinkách a příležitostech, které z nich vyplývají pro váš byznys, ale zároveň budete moci vyhrát hodinky Huawei GT 2 Pro nebo náramky Huawei Band 4. Čtěte více

Řešení SolarWinds RMM nově obsahuje nástroj pro ochranu koncových bodů

29. 10. 2020. (redaktor: František Doupal, zdroj: Zebra systems)
Společnost Zebra systems oznámila dostupnost nového nástroje SolarWinds Endpoint Detection and Response (EDR) v řešení SolarWinds RMM (Remote Monitoring and Management). Integrace nástroje umožňuje poskytovatelům IT služeb a MSP firmám nabízet zákazníkům pokročilé služby IT bezpečnosti z prostředí svého řešení pro monitoring a správu zákaznických IT z jedné centrální obrazovky. Čtěte více

Acronis rozšíří svou síť lokálních datových center. Dočkat by se měla i ČR

23. 10. 2020. (redaktor: František Doupal, zdroj: Acronis)
Acronis oznámil plány na rozšíření své globální sítě cloudových datových center. Nová datová centra zajistí lepší dostupnost a úroveň kybernetické ochrany i českým uživatelům. Rozšíření zajistí plnou dostupnost řešení Acronis Cyber Protection pro partnery a organizace po celém světě, jejichž až dvě třetiny zaměstnanců nyní pracují vzdáleně a spoléhají se na cloudové služby. Čtěte více

Po útoku ransomwaru už organizace nejsou jako dřív

22. 10. 2020. (redaktor: František Doupal, zdroj: Sophos)
Průzkum společnosti Sophos ukázal, že se velmi liší sebejistota a přístup k boji s kyberútoky u IT manažerů, kteří již zažili útok ransomwaru, a u těch, kteří zatím nikoli. Nový ransomware Ryuk pak jasně demonstruje, jak rychle útočníci mění své prostředky. Čtěte více