Rischioso caricare uno smartphone in aeroporto o al bar secondo Kaspersky Lab

Kaspersky Lab avverte che caricare i dispositivi mobile può mettere in pericolo i dati

Durante un esperimento proof-of-concept, gli esperti di Kaspersky Lab hanno scoperto che gli smartphone possono essere compromessi mentre vengono caricati tramite una connessione USB standard a un computer. I ricercatori stanno ora valutando quale possa essere l’impatto di un simile incidente.

Vi siete mai chiesti quanto siano al sicuro i vostri smartphone e i vostri dati quando connettete un dispositivo ai punti di ricarica free presenti in aeroporti, bar, parchi o mezzi pubblici?

Sapete quanti e quali dati il vostro dispositivo mobile stia scambiando con questi punti mentre è in carica? I ricercatori di Kaspersky Lab si sono incuriositi e hanno condotto una ricerca per trovare le risposte a queste domande.

Ai fini della ricerca, gli esperti dell’azienda hanno testato numerosi smartphone con diverse versioni dei sistemi operativi Android e iOS per scoprire quali dati il dispositivo trasferisca all’esterno quando è connesso a un PC o a un Mac per caricarsi. I risultati del test indicano che i dispositivi mobile svelano moltissimi dati al computer durante l’”handshake” (un processo di presentazione tra il dispositivo e il PC/Mac a cui è connesso), compresi: il nome del device, il produttore, la tipologia, il numero di serie, le informazioni sul firmware e sul sistema operativo, il file system/file list e l’ID del chip elettronico.

La quantità di dati inviati durante l’handshake cambia a seconda del dispositivo e dell’host, ma ogni smartphone trasferisce lo stesso set base di informazioni, come il nome del dispositivo, il produttore, il numero seriale, e così via.

È un problema di sicurezza? Indirettamente sì. Ora che non ci si separa quasi mai dai propri smartphone, il dispositivo può servire da identificatore unico per chiunque sia interessato a raccogliere queste informazioni per un utilizzo futuro. Ma non sarebbe un problema se un criminale informatico raccogliesse al massimo solo pochi identificatori unici quando il dispositivo è collegato a un computer o a un caricabatterie.

Nel 2014, è stata presentata al Black Hat la teoria secondo la quale un cellulare potrebbe venire infettato da un malware semplicemente connettendolo a un falso punto di ricarica.

Ora, due anni dopo il primo annuncio, gli esperti di Kaspersky Lab sono stati in grado di dimostrarlo con successo.

Usando solo un comune computer e un cavo micro USB standard, armati di un set di comandi speciali (i cosiddetti comandi AT), sono stati in grado di eseguire il re-flash dello smartphone e installarvi silenziosamente un’applicazione root. Questo ha portato alla totale compromissione del dispositivo, anche senza l’utilizzo di alcun malware.

Sebbene non siano state pubblicate informazioni su incidenti effettivamente avvenuti che coinvolgono falsi punti di ricarica, il furto di dati da dispositivi mobile connessi a un computer è stato già visto in passato. Ad esempio, questa tecnica è stata utilizzata nel 2013 all’interno della campagna di cyber spionaggio Red October. Inoltre, anche il gruppo Hacking Team ha usato una connessione a un computer per caricare un malware su un dispositivo mobile.

Entrambi questi gruppi criminali hanno trovato un modo per sfruttare lo scambio di informazioni iniziale apparentemente sicuro tra lo smartphone e il PC a cui viene connesso. Controllando le informazioni di identificazione ricevute dal dispositivo collegato, gli hacker sono riusciti a scoprire quale modello di dispositivo utilizzasse la vittima e ad avviare l’attacco attraverso un exploit scelto appositamente. Non sarebbe stato così semplice se lo smartphone non avesse scambiato automaticamente i dati con il PC dopo essere stato connesso alla porta USB.

“È strano vedere che quasi due anni dopo la pubblicazione della proof-of-concept che dimostrava come uno smartphone possa essere infettato attraverso l’USB, il concetto funziona ancora. In questo modo i rischi di sicurezza sono scontati: se siete utenti abituali potete venire tracciati attraverso gli ID del vostro dispositivo; il vostro smartphone potrebbe venire invisibilmente riempito di qualsiasi cosa, dagli adware ai ransomware; e se siete decision-maker di una grande azienda, potreste facilmente diventare l’obiettivo di hacker professionisti”, ha commentato Alexey Komarov, ricercatore di Kaspersky Lab. “Inoltre, non è neanche necessario essere particolarmente abili per condurre questi attacchi, tutte le informazioni necessarie possono essere facilmente trovate in Internet”.

Per proteggersi dal rischio di un possibile attacco attraverso punti di ricarica sconosciuti e computer non affidabili, Kaspersky Lab suggerisce di:

• Usare solo punti di ricarica USB e computer affidabili per caricare il vostro dispositivo;
• Proteggere gli smartphone con una password o con un altro metodo come il riconoscimento dell’impronta digitale e non sbloccarlo durante la carica;
• Usare tecnologie di criptaggio e archivi sicuri (aree protette sui dispositivi mobile usate per isolare le informazioni sensibili) per proteggere i dati;
• Proteggere sia il dispositivo mobile, sia il PC/Mac dai malware con l’aiuto di una soluzione di sicurezza affidabile. Questo permetterà di rilevare i malware anche quando viene usata una vulnerabilità del “caricamento”.

Ulteriori informazioni sono disponibili nel blog post su Securelist.com