Kampania przejmowania telefonów kierowana na użytkowników Samsunga/Xiaomi. Wykorzystywali błędy n-day we wbudowanych przeglądarkach

Z dziwnego powodu chyba mało mediów przyjrzało się bliżej temu problemowi. W styczniu tego roku Google upublicznił dość enigmatyczny błąd. Tłumaczenie od sekurak:

Mamy powody, by sądzić, że komercyjny dostawca systemów inwigilujących atakuje użytkowników Samsunga i Xiaomi, przekierowując ruch z Chrome do preinstalowanych przeglądarek, a następnie wykorzystuje exploity n-day w Chrome. Xiaomi i Samsung używają starych wersji Chromium w swoich preinstalowanych przeglądarkach. Przeglądarka Mi działa obecnie na Chromium 79 z grudnia 2019 r. Przeglądarka Samsung działa obecnie na Chromium 87 ze stycznia 2021 r. Dotyczy to wszystkich użytkowników Xiaomi i Samsunga, nawet tych którzy używają tylko Chrome na telefonach.

We have reason to believe a commercial surveillance vendor is targeting Samsung and Xiaomi users by redirecting web traffic from Chrome to preinstalled browser apps and then using Chrome n-day exploits. Xiaomi and Samsung are running old Chromium versions in their preinstalled browsers. The Mi Browser is currently on Chromium 79 from Dec 2019. The Samsung Browser is currently on Chromium 87 from Jan 2021. This affects all Xiaomi and Samsung users, even those who only use Chrome on these phones.

Krótki komunikat – ale ile informacji!

• W użyciu są exploity n-day. Cóż to takiego? Znamy pewnie pojęcie 0day. Można się czasem spotkać z pojęciem 1-day (bug został załatany, ale wiadomo – dzień czy dwa po wydaniu łatki dużo użytkowników się jeszcze nie załata). N-day – exploit jest znany od wielu dni. Jest to o tyle ciekawe, że podatności klasy n-day są tanie (a czasem wręcz darmowe – publicznie dostępne exploity)
• Kolejna ciekawostka: można było używać w pełni zaktualizowanego (jak zakładam) Chrome na telefonie, a atakujący znaleźli jakiś sprytny sposób na otworzenie zainfekowanej strony (redirecting web traffic from Chrome to preinstalled browser apps and then using Chrome n-day exploits. (…) this affects all Xiaomi and Samsung users, even those who only use Chrome on these phones)

Jakie podatności były (są?) wykorzystywane? CVE-2020-16040 (Remote Code Execution poprzez wczytanie w przeglądarce odpowiednio spreparowanej strony HTML) oraz CVE-2021-30563 (podobnie jak wcześniej – RCE).

Przy okazji – warto pamiętać, że prawdziwy atak składa się zazwyczaj z kilku exploitów: RCE przeglądarce (tutaj również wyskoczenie z sandboxa), później privilege escalation (czyli najlepiej dostęp na roota). Na koniec wgranie właściwego złośliwego kodu i optymalnie zrealizowanie tzw. persystencji (czyli po restarcie telefonu złośliwy kod cały czas działa):

Nota bene – jeśli chodzi o privilege escalation to Google w cytowanym nieco wyżej wpisie, znowu wspomina n-daye:

A “privilege escalation kit” composed of publicly known n-day exploits for older versions of Android.

Dobra, wracając do głównego wątku, grube exploity na Androida / iPhone kojarzą się nam raczej z atakami celowanymi i wykorzystaniem drogich 0-day. Przykład: Pegasus / wysłanie do ofiary SMSem „ciekawego” linka / pod linkiem hostowany exploit na podatność 0-day, dalej eskalacja uprawnień… bum atakujący jest na telefonie:

Ale historycznie widzieliśmy też kampanie bardziej masowe (Large-Scale Surveillance and Exploitation of Uyghurs):

• Wide-ranging series of digital surveillance and exploitation campaigns identified via multiple strategically compromised websites
• Mobile device users running Android OS targeted via an exploit that will deliver a 64-bit ARM executable
• Website visitors tracked and targeted via Scanbox profiling and exploitation framework

Popuśćmy teraz nieco wodze fantazji. Pamiętacie ostatnie włamanie na serwis money[.]pl? Wyglądało to niewinnie, użytkownicy mobilni byli przekierowywani na taką stronę:

Na stronie nie było w zasadzie nic wielkiego. ALE gdyby tak sprofilować pewną grupę użytkowników (żeby nie robić dużego hałasu), którzy mogą mieć dostęp do ciekawych danych… a następnie użyć exploitów n-day? Najprawdopodobniej nic takiego nie miało miejsca, wskazuję tylko ciekawą możliwość czy zagrożenie.

Wracając do początku – czy podatność (podatności) w Samsungach / Xiaomi zostały załatane? Z jednej strony tak (update ze stycznia tego roku):

Both Samsung and Xiaomi have indicated that they have fixed the out of date browser that is affected by CVE-2021-30563.

Zaznaczam też że „have indicated that they have fixed” nie musi oznaczać, że rzeczywiście wszystkie problemy zostały załatane (wg. producenta – tak).

Z drugiej strony trochę się zastanawiam:

• Czy wszystkie (również całkiem stare) modele telefonów zostały załatane? (ekhem…)
• Czy aktualizacja wbudowanych przeglądarek została wymuszona?

Napiszcie tez przy okazji w komentarzach jak wyglądają u Was kwestie (niezależnie jaki macie androidowy telefon):

• aktualizacji OS (czy jest, jak długo po wypuszczeniu urządzenia, jak szybko pojawiają się aktualizacje – vs. poprawki od Google)
• aktualizacji przeglądarki (wbudowanej / osobno instalowanego Chrome / FF) – macie to ustawione automatycznie, ręcznie? W ogóle pojawiają się aktualizacje (mam tu na myśli wbudowane przeglądarki).

Na koniec dobra rada: odinstalujcie / wyłączcie bundlowane przez producenta przeglądarki w telefonach…

~Michał Sajdak