Dispositivos móviles Android de 11 proveedores están expuestos a ataques de comandos AT


Un grupo de investigadores ha llevado a cabo un estudio interesante sobre ataques de comandos AT en dispositivos Android modernos, descubriendo que los modelos de 11 proveedores están en riesgo.

Un grupo de investigadores de la Universidad de Florida, la Universidad Stony Brook y Samsung Research America, han realizado una investigación interesante sobre el conjunto de comandos AT que actualmente son compatibles con los dispositivos Android modernos.


Los expertos publicaron un trabajo de investigación titulado "Atención abarcada: análisis exhaustivo de la vulnerabilidad de los comandos AT dentro del ecosistema de Android", los hallazgos de su estudio se presentaron en el simposio de seguridad de Usenix hace unos días.


La investigación reveló que millones de dispositivos móviles de once vendedores de teléfonos inteligentes son vulnerables a ataques llevados a cabo utilizando comandos AT.


Los comandos AT (ATtention) son un conjunto de cadenas cortas de texto que se pueden combinar para realizar una serie de operaciones en dispositivos móviles, como marcar, colgar y cambiar los parámetros de la conexión.


Los comandos AT se pueden transmitir a través de líneas telefónicas y modems de control.


Incluso si los reguladores internacionales de telecomunicaciones han definido la lista de comandos AT que todos los teléfonos inteligentes deben implementar, muchos proveedores también han agregado conjuntos de comandos AT personalizados que podrían usarse para administrar algunas características específicas de los dispositivos (es decir, control de la cámara).


Los expertos analizaron más de 2.000 imágenes de firmware de Android de once OEM de Android (ASUS, Google, HTC, Huawei, Lenovo, LG, LineageOS, Motorola, Samsung, Sony y ZTE) y descubrieron que los dispositivos admiten más de 3.500 tipos diferentes de comandos AT.


Los investigadores compartieron sus hallazgos con todos los proveedores afectados. El equipo publicó un sitio web que contiene la lista de modelos de teléfonos y versiones de firmware que exponen la interfaz AT.


En algunos casos, al usar los comandos AT personalizados, era posible acceder a características muy peligrosas implementadas por los proveedores. En muchos casos, los comandos no documentan los comandos.


Los expertos descubrieron que casi todos los dispositivos aceptan comandos AT a través de la interfaz USB del teléfono. Para abusar de los comandos AT, el atacante necesita tener acceso físico al dispositivo o usar un componente malvado en un puerto USB o un cargador.


"Sistemáticamente recuperamos y extraemos 3.500 comandos AT de más de 2.000 imágenes de firmware de teléfonos inteligentes Android en 11 proveedores. Evaluamos metódicamente nuestro corpus de comandos AT contra ocho dispositivos Android de cuatro proveedores diferentes a través de su interfaz USB y caracterizamos la poderosa funcionalidad expuesta, incluida la capacidad de reescribir el firmware del dispositivo, eludir los mecanismos de seguridad de Android, filtrar información sensible del dispositivo, desbloquear la pantalla y inyectar eventos táctiles únicamente mediante el uso de comandos AT ", dice el documento de investigación.


"Demostramos que la interfaz de comando AT contiene una cantidad alarmante de funcionalidad no restringida y representa una amplia superficie de ataque en dispositivos Android".

Los expertos explicaron que los atacantes podrían abusar de los comandos AT para reescribir el firmware del dispositivo, eludir los mecanismos de seguridad de Android, filtrar la información sensible del dispositivo y realizar otras actividades maliciosas.

Otro descubrimiento desconcertante hecho por los expertos es que es posible enviar comandos AT incluso si el teléfono entró en un estado bloqueado.

"En muchos casos, estos comandos están completamente indocumentados", dijo Kevin Butler, profesor asociado de la Facultad de Ingeniería Herbert Wertheim de la Universidad de Florida y miembro del equipo de investigación, que revela que la documentación de un OEM ni siquiera menciona su presencia.


Los expertos demostraron que los eventos de pantalla táctil arbitrarios se pueden inyectar a través de USB imitando tomas de pantalla táctil, un truco que podría dar a un atacante el control total sobre un dispositivo móvil.

"Los comandos para enviar eventos de pantalla táctil y las teclas también se descubren para teléfonos LG y S8 +; podemos ver las indicaciones en la pantalla. Sospechamos que estos comandos AT fueron diseñados principalmente para pruebas de automatización de UI, ya que imitan las interacciones humanas. Desafortunadamente, también permiten ataques más complicados que solo requieren una conexión USB ", continúa el documento.


Los investigadores publicaron un script de Shell que usaron durante sus pruebas, les permitió encontrar cadenas que contengan ATcommands en las imágenes examinadas.


"Los comandos AT se han convertido en una parte integral del ecosistema Android, sin embargo, el alcance de su funcionalidad no está claro y está poco documentado", concluyen los expertos.


"Demostramos que la interfaz de comando AT contiene una cantidad alarmante de funcionalidad no restringida y representa una amplia superficie de ataque en dispositivos Android".

Autor: Pierluigi Paganini
Fuente (Security Affairs – ATcommands, hacking)




Publicar un comentario

0 Comentarios