3G en 4G USB-modems vormen een beveiligingsrisico, volgens onderzoeker

Het overgrote deel van de 3G- en 4G USB-modems die door mobiele operatoren aan hun klanten worden uitgedeeld, worden geproduceerd door een handvol bedrijven en voeren onveilige software, volgens twee Russische beveiligingsonderzoekers.

Onderzoekers Nikita Tarakanov en Oleg Kupreev analyseerden de beveiliging van 3G / 4G USB-modems die de afgelopen maanden door Russische operatoren werden verkregen. Hun bevindingen werden donderdag gepresenteerd op de beveiligingsconferentie Black Hat Europe 2013 in Amsterdam.

De meeste 3G / 4G-modems die in Rusland, Europa en waarschijnlijk elders in de wereld worden gebruikt, zijn gemaakt door de Chinese hardwarefabrikanten Huawei en ZTE en worden gebrandmerkt met de logo's en handelsmerken van de mobiele operators, zei Tarakanov. Daarom, zelfs als het onderzoek voornamelijk op Huawei-modems van Russische operatoren zou zijn uitgevoerd, zouden de resultaten ook in andere delen van de wereld relevant moeten zijn.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Tarakanov zei dat ze geen basisbandaanvallen konden testen tegen de Qualcomm-chips die in de modems werden aangetroffen, omdat het in Rusland illegaal is om je eigen GSM-basisstation te gebruiken als je geen inlichtingenagentschap of telecombedrijf bent. "We zullen waarschijnlijk een paar maanden naar een ander land moeten verhuizen om het te doen," zei hij.

Er valt nog veel te onderzoeken op het gebied van de beveiliging van de hardware. Het SoC (systeem op een chip) dat in veel modems wordt gebruikt, heeft bijvoorbeeld Bluetooth-functionaliteit die is uitgeschakeld voor de firmware, maar het kan mogelijk zijn om het in te schakelen, aldus de onderzoeker.

Voorlopig testten de onderzoekers de vooraf geïnstalleerde software op de modems en meerdere manieren gevonden om het aan te vallen of te gebruiken bij aanvallen.

Ten eerste is het gemakkelijk om een ​​beeld te maken van het bestandssysteem van de USB-modem, dit te wijzigen en opnieuw te schrijven op de modem. Er is een tool beschikbaar van Huawei om een ​​modem te back-uppen en te herstellen, maar er zijn ook gratis tools die modems van andere fabrikanten ondersteunen, zei Tarakanov.

Malware op de computer kon het model en de versie van de actieve 3G-modem detecteren en kon schrijf een afbeelding met kwaadaardige aanpassingen erop met behulp van dergelijke hulpmiddelen. Dat modem zou dan elke computer waarop het gebruikt wordt compromitteren.

De modem bevat het installatieprogramma voor een toepassing die op de computer wordt geïnstalleerd, evenals de nodige stuurprogramma's voor verschillende besturingssystemen. Met de toepassing kan de gebruiker de internetverbinding die via de modem tot stand is gebracht stoppen, starten en beheren.

De configuratiebestanden voor de geïnstalleerde toepassing, evenals die van het installatieprogramma van de toepassing die op de modem zijn opgeslagen, zijn in platte tekst en kunnen gemakkelijk aangepast. Eén instelling in de configuratiebestanden bepaalt welke DNS-servers de modem moet gebruiken voor de internetverbinding.

Een aanvaller kan die vermeldingen wijzigen in servers die worden bestuurd door de aanvaller, zei Tarakanov. Dit zou de aanvaller de mogelijkheid bieden om gebruikers naar frauduleuze websites te leiden wanneer ze legitieme websites proberen te bezoeken met behulp van de modemverbinding.

Hoewel het installatieprogramma zelf niet rechtstreeks kan worden gewijzigd om malware te laden omdat het een ondertekend uitvoerbaar bestand is, zijn er sommige vermeldingen in het configuratiebestand die voor dit doel kunnen worden gebruikt.

Veel configuratiebestanden hadden bijvoorbeeld paden naar antivirusinstallatieprogramma's en een optie om die programma's al dan niet te installeren, zei Tarakanov. De onderzoeker zei dat hij nooit een antivirusinstallatieprogramma bij de door hem geteste USB-modems heeft geleverd, maar de functie was aanwezig.

Een aanvaller zou een aangepaste afbeelding kunnen maken met een aangepast configuratiebestand dat deze functie inschakelt en een kwaadaardig bestand installeert dat is opgeslagen op de modem in plaats van een antivirusprogramma. Als de afbeelding op een USB-modem is geschreven, zou de malware elke keer dat de gebruiker de modemapp zou installeren ook worden geïnstalleerd, zei Tarakanov.

De onderzoekers vonden ook een mogelijke massale aanvalsvector. Eenmaal geïnstalleerd op een computer, de modem applicatie - tenminste die van Huawei - controleert periodiek op updates van een enkele server, zei Tarakanov. Software die is ontworpen voor een specifieke operator, zoekt naar updates in een serverdirectory die specifiek is voor die operator.

Een aanvaller die deze updateserver probeert te compromitteren, kan massale aanvallen uitvoeren tegen gebruikers van veel exploitanten, zei Tarakanov. Huawei 3G-modems van verschillende Russische operatoren gebruikten dezelfde server, maar er kunnen andere updateservers zijn voor andere landen, zei hij.

Tarakanov zei dat hij niet op zoek was naar kwetsbaarheden in de feitelijke modemstuurprogramma's die in het besturingssysteem waren geïnstalleerd, maar hij verwacht dat ze kwetsbaarheden hebben. De overgrote meerderheid van stuurprogramma's van derden heeft over het algemeen kwetsbaarheden, zei hij.

Tarakanov is gespecialiseerd in het exploiteren van fouten en het opsporen van kwetsbaarheden in de Windows-stuurprogramma's voor de kernelmodus. Oleg Kupreev was echter de leider voor dit specifieke onderzoeksproject met betrekking tot 3G / 4G-modems.

Onderzoek op dit gebied staat nog maar aan het begin en er valt meer te onderzoeken, zei Tarakanov. Iemand moet het doen omdat veel nieuwe laptops worden geleverd met 3G / 4G-modems die direct zijn ingebouwd en mensen moeten weten of ze een beveiligingsrisico vormen.