Mobile Insecurity. Manno, 28 Settembre 2011 D Amato Luigi

Transcript

1 Mobile Insecurity Manno, 28 Settembre 2011 D Amato Luigi

2 About us n Luigi D Amato: Senior CyberSecurity Consultant e CTO di Security Lab SAGL. Membro ufficiale del chapter italiano dell Honeynet Project Alliance Research. Specializzato in Botnet Analysis, Malware Analysis Monitoring, Tracking, Intelligence, Penetration testing, Vulnerability assesment.

3 Stistiche n n n Stime IDC: Crescita del 55% rispetto l anno milioni rispetto ai 305 dello scorso anno Si prospetta che nel 2015 si toccherrano quasi 1 miliardo di device mobili Android, Windows Phone / Windows mobile e IOS faranno da padroni

4 Rischi Azienda - Integrazione di Device mobile in azienda; - Accesso a dati aziendali; - Inserimento di informazioni, file ed altro sui dispositivi mobili; - Spesso NON VIENE GESTITO come un se fosse un pc interno!

5 Cosa tener presente - Accesso fisico - Secure Data Storage - Strong Authentication - Navigazione internet - Sistema operativo - Application Isolation - Informazion Disclousure

6 Cosa tener presente (2) - Patching sistema operativo - Trasporto dei dati

7 Dove puo essere attacchato - GSM / GPRS/ EDGE / Wifi / Bluetooth - SMS/MMS - Attacchi lato client

8 Cosa puo accedere un attacker? - Documenti - Dettagli sulla navigazione - /sms - Registrazione delle telefonate - Appuntamenti - Localizzazione

9 ios vs Android vs Mobile Apple ios: - Traditional Access Control - Application Provenance - Encryption - Isolation

10 ios Security File system cifrato, in modo da impedire che in caso di compromissione fisica del dispositivo I dati ossano essere accedibili, possibilità di abilitare il remote wipe Controllo tramite Apple Store delle applicazione immesse, in modo da impedire attacchi quali: malware attacks, data loss attacks, data integrity attacks, and denial of service attacks. Applicazione isolate in mode Impossibilità di accedere a informazioni, mandare SMS messages, o iniziare chiamate senza il permesso del proprietario. Nessuna protezione fornita contro attacchi social engineering per esempio spam e simili

11 Casi di Malware ios/ Fake - Aurora Feint = 2008 gioco che copiava I contatti - Storm8 = applicazione scaricata da 20 milioni di utenti, trasferiva il numero di telefono dal device sui server Storm8 - IphoneOs.Ikee = Hacking device ios jailbroken

12 Android - Traditional Access Control - Application Provenance - Encryption - Isolation

13 - Filesystem cifrato ma non noto i dettagli Android Security Le applicazioni possono stabilire connessioni di reti utilizzando le tecnologie disponibili; Le applicazioni possono accedere ai dettagli del DEVICE, IMEI, numero, dettagli sim card, IMSI. Queste informazioni possono essere utilizzate per effettuare frodi telefoniche Possibilità di inviare intercettare messaggi, mail, chiamate senza l interazione dell utente Possibilità di accedere alle SD - Log della navigazione lnternet e le varie applicazioni installate e attive

14 Windows Phone 7 - Chambers - Capabilities - Sandbox - Application deployment

15 Possibili attacchi - Web-Based Attacks - Malware Attacks - Social Engineering attacks - Service Attacks - Data Loss - Data Integrity

16 Malware for profit - J2ME/Redbrowser.A Primo trojan Accesso WAP web page via SMS

17 In realtà? - Inviava a insaputa della persona sms a numeri premium

18 J2ME/Wesber.A - Si installa tramite un applicazione pomoshnik.jar

19 In realtà? - Inviava sms ad un numero 1717 russo

20 J2ME/SMSFree - Applicazione per inviare SMS anonimi

21 In realtà? -Inviava sms a servizi premium nei seguentipaesi: - Russia (5 SMS) Ukraine (4 SMS) Kazakhstan (4 SMS)

22 J2ME/Vkonpass.A - Applicazione per la gestione dei social network

23 In realtà? - Collezione di account da rivendere - Utilizzo come veicolo di diffusione come malware / adware/ spyware - Raccolta mail da rivedendere per phishing mirato

24 Android/Geinimi.A - Codice malevolo inserito in diverse applicazioni apparentemente legittime

25 - In realtà cosa faceva?

26 In realtà cosa faceva - Ecrypton backdoor command, C&C URL - In ascolto sulla porta 5432 per l handshaking

27 Soundcomber - Intercettazione di chiamate - Identificazione passi per IVR - Capacità di processare audio per riconoscimento di informazioni su carte di credito

28 Esempio 1) Utente chiama compagnia carta di credito

29 Esempio - Soundcomber inizia l operazioni di analisi

30 Esempio - Carta di credito identificata e inviata verso il server remoto

31 Esempio - Identificazione Carta di credito via DTMF

32 Malware for profit 2 - Click Fraud, Black Hat SEO - Generazione di traffico, pay-per-click(ppc) ads - Stealing Accounts(Skype, QQ, SIM balances, bank)

33 Bank??? - Zitmo = Malware della famiglia Zeus portato sul mobile - Piattaforme interessate: - - Android - - BlackBerry - - Symbian - - Windows Mobile

34 Come funziona

35 Exploit Android - Possibilità di ottenere informzioni dettagliate sfruttando una vulnerabilità del browser - Versione vulnerabile <= 2.2

36 - Metasploit

37 Exploit

38 Android exploit

39 Exploit - Accediamo con il nostro tablet/smartphone al nostro server -

40 Exploit

41 Come posso ottenre un risultato migliore? - QR code ex sito:

42 Adesso ci divertiamo - Creazione di un finto sito che sfrutta una vulnerabilità dello smartphone - Creazione del QR code: ex: -

43 QR CODE

44 Come posso diffondere?

45 Defacement!!

46 Conclusioni - Formazione - Implementare misure MDM - Molto importanti saranno i repository delle applicazioni - Installare applicazioni che controllano questo tipo di problematiche

47 Thank you for your attention! Q&A