Nghiên cứu mới đã tiết lộ một chuỗi lỗ hổng bảo mật nghiêm trọng trong ‘Find My Mobile’ – một ứng dụng Android được cài đặt sẵn trên hầu hết các điện thoại thông minh Samsung – có thể cho phép những kẻ tấn công từ xa theo dõi vị trí trong thời gian thực của nạn nhân, giám sát các cuộc gọi điện thoại và tin nhắn, và thậm chí xóa dữ liệu được lưu trữ trên điện thoại.

Nhà cung cấp dịch vụ an ninh mạng Char49 có trụ sở tại Bồ Đào Nha đã tiết lộ những phát hiện của mình trên ứng dụng Find My Mobile Android của Samsung tại hội nghị DEF CON vào tuần trước.

“Lỗ hổng này, sau khi thiết lập, có thể dễ dàng bị khai thác và gây ra những hậu quả nghiêm trọng cho người dùng và có thể gây ra tác động thảm khốc: từ chối dịch vụ vĩnh viễn thông qua khóa điện thoại, mất dữ liệu hoàn toàn khi khôi phục cài đặt gốc (bao gồm thẻ SD), ảnh hưởng nghiêm trọng đến quyền riêng tư qua IMEI và theo dõi vị trí cũng như truy cập nhật ký cuộc gọi và SMS, ” nhà  nghiên cứu Pedro Umbelino của Char49 chi biết.

Các lỗ hổng, hoạt động trên các thiết bị Samsung Galaxy S7, S8 và S9+ chưa được vá lỗi, đã được Samsung giải quyết sau khi gắn cờ khai thác là “lỗ hổng có tác động cao”.

Dịch vụ Find My Mobile của Samsung cho phép chủ sở hữu thiết bị Samsung định vị hoặc khóa điện thoại thông minh hoặc máy tính bảng từ xa, sao lưu dữ liệu được lưu trữ trên thiết bị vào Samsung Cloud, xóa dữ liệu cục bộ và chặn quyền truy cập vào Samsung Pay.

Theo Char49, có bốn lỗ hổng khác nhau trong ứng dụng có thể đã bị khai thác bởi một ứng dụng độc hại được cài đặt trên thiết bị được nhắm mục tiêu, do đó tạo ra một cuộc tấn công man-in-the-disk để chiếm đoạt thông tin liên lạc từ các backend server và rình mò nạn nhân.

Lỗ hổng bắt nguồn từ việc ứng dụng kiểm tra sự hiện diện của một tệp cụ thể trên thẻ SD của thiết bị (“/mnt/sdcard/fmm.prop”) để tải URL (“mg.URL”), do đó cho phép ứng dụng giả mạo tạo tệp này để chiếm đoạt thông tin liên lạc với máy chủ.

“Bằng cách trỏ MG URL tới máy chủ do kẻ tấn công kiểm soát, hacker có thể lấy nhiều thông tin chi tiết về người dùng: vị trí thô thông qua địa chỉ IP, IMEI, thương hiệu thiết bị, cấp độ API, ứng dụng sao lưu và một số thông tin khác, ”Umbelino nói.

Để đạt được điều này, một ứng dụng độc hại được cài đặt trên thiết bị sử dụng chuỗi khai thác sử dụng hai bộ thu phát  không được bảo vệ khác nhau để chuyển hướng các lệnh được gửi đến máy chủ của Samsung từ ứng dụng Find My Mobile đến một máy chủ khác nằm dưới sự kiểm soát của kẻ tấn công và thực hiện các lệnh độc hại.

Máy chủ độc hại cũng chuyển tiếp yêu cầu đến máy chủ hợp pháp và truy xuất phản hồi, và đưa các lệnh của chính nó vào các phản hồi của máy chủ.

Khi làm như vậy, một cuộc tấn công thành công có thể cho phép tin tặc theo dõi vị trí của thiết bị, lấy dữ liệu cuộc gọi và tin nhắn văn bản, khóa điện thoại để đòi tiền chuộc và xóa tất cả dữ liệu thông qua khôi phục cài đặt gốc.

Nguồn: Flaws in Samsung Phones Exposed Android Users to Remote Attacks

www.vietsunshine.com.vn