Диалог приложения Sim, что это за программа для Android

Обновлено: 21.11.2024

Мы используем вашу регистрацию, чтобы предоставлять контент способами, на которые вы дали согласие, и чтобы лучше понимать вас. Это может включать в себя рекламу от нас и третьих лиц, исходя из нашего понимания. Вы можете отписаться в любое время. Подробнее

Это была бы необычная неделя без предупреждения для поклонников смартфонов Android. Последнее предупреждение поступило от команды CyberNews, которая сообщила, что обнаружила новую шокирующую угрозу для владельцев телефонов на платформе Google.

Статьи по теме

Согласно новому отчету, создается впечатление, что секретная сеть из 27 разработчиков приложений создала огромное количество приложений, которые могут нанести ущерб устройствам Android.

С его помощью было обнаружено 103 фиктивных приложения, хотя ничего не подозревающие пользователи загрузили их 69 миллионов раз.

Похоже, что эта последняя угроза работает потому, что разработчики быстро копируют другие приложения, внося небольшие визуальные изменения, чтобы приложения выглядели уникальными.

Хотя они могут показаться довольно безобидными, эти приложения могут подвергать данные пользователей серьезной опасности.

Это связано с тем, что их политика конфиденциальности позволяет им собирать всевозможную конфиденциальную информацию, такую как информация о географическом регионе, адреса электронной почты, уникальный идентификатор устройства и даже данные о выставлении счетов или доставке.

Предупреждение магазина приложений Android: удалите их сейчас (Изображение: GETTY)

ПОДРОБНЕЕ

CyberNews сообщает, что эти приложения запрашивают обширный список разрешений устройства, включая изменение или удаление USB-накопителя, включение и выключение микрофона, доступ к камере и изображениям и даже изменение системных настроек.

Что еще хуже, эти разрешения приложений часто не имеют ничего общего с основной функцией приложения.

Более подробно поясняет старший научный сотрудник Бернард Мейер: "В лучшем случае эти приложения могут доставить пользователям очень мало удовольствия, особенно когда приложения переполнены рекламой на каждом шагу".

"В худшем случае эти приложения впоследствии могут стать средством

злонамеренные цели, включая кражу данных или другое вредоносное ПО».

Команда CyberNews теперь предупреждает, что пользователи должны немедленно удалить эти приложения со своих телефонов.

В тренде

Чтобы помочь вам проверить ваши приложения, вот полный список приложений, которые вам следует искать.

• Видео с эффектом сбоя, эффект зернистости фоторедактора

• Мод для Minecraft, Моды для животных Minecraft 2019

• Voice Changer, редактор диктофона с эффектами

• Sketch Photo Editor и Pencil Sketch Art

• Гороскоп на 2019 год с 12 знаками зодиака

• Alex Joe Face Makeup Camera & Beauty Photo Makeup Editor

• Видеоредактор Arrow Frankie с музыкальным приложением, создатель видео из фото

• Автоматическая запись звонков, запись звонков двумя способами

• Устройство записи экрана Rusty Mari с видеокамерой, аудио и видеоредактором

• Nucie Cam: красивая селфи-камера с фоторедактором

Есть 103 приложения, которые следует удалить с вашего телефона (Изображение: GETTY)

• Запись экрана с помощью Facecam и захвата скриншотов

• Сканер PDF Сканер камеры: конвертер JPG в PDF

• Блокировка отпечатков пальцев, PIN-код и блокировка галереи

• Редактор фотоколлажей и фоторамка в виде сетки

• Метроном и тюнер для инструментов

• Расслабляющая музыка для сна и успокаивающие звуки

• Вырезать и вставить фоторедактор с фоновым ластиком

• Запись экрана со звуком и камерой, снимок экрана

• Блокировка приложений с отпечатком пароля, блокировка галереи

• Видеоредактор с музыкой, фотографиями и приложением для видеоэффектов

• Создатель фотоколлажей и сетка изображений, компоновка фотографий

• Видеоредактор, создатель видео с музыкой, фотографиями и текстом

• Камера для макияжа и фоторедактор для макияжа

• Видеоредактор с музыкой и эффектами и средство для создания видео

• Вырезать и вставить фоторедактор, чтобы изменить фон

• Запись экрана, запись игр с видеокамерой, аудио

• Конвертер JPG в PDF со сканером камеры в PDF

• Линейка пузырькового уровня с уклономером бесплатно

• Извлечение файлов RAR и открыватель ZIP, создание ZIP RAR

• Приложение для автоматической записи входящих и исходящих вызовов

• Блокировка приложений с паролем, блокировка фотогалереи

Статьи по теме

• Цветные темы экрана вызова со вспышкой при вызове

• Видеоредактор с эффектом сбоя и фото с эффектом Vhs

• Частный интернет-браузер для загрузки видео HD

• Двойной аккаунт, двойное пространство, приложение для нескольких аккаунтов

• Напоминание о таблетках с сигналом тревоги, медицинское напоминание и трекер

• Пиксельная раскраска по номерам и игра-раскраска в песочнице

• Отслеживание месячных, календарь менструации и овуляции

• Темы экрана звонка Kylian Mbapee с фонариком при вызове

• Отпечаток пальца и пароль для App Locker, Locker для галереи

• ProCam – HD-камера

• Видеоплеер всех форматов 2019 с приложением Media Player

• Создатель фотоколлажей и фотосетка 2019, новинка

• Видеоредактор фотографий, видеомагнитофон с музыкой

• Музыкальный проигрыватель MP3, средство для создания рингтонов MP3

• ProCam – HD-камера

• Beauty Camera, фоторедактор и макияж

• Фоторедактор PIP с PIP Camera Photo Maker 2019

• Школьные прически шаг за шагом, прическа с плетением

• Pixel Art Color By Number 2019 и раскраска в песочнице

• Пазлы для взрослых и пазлы с картинками

• Поэтапное рисование цветов с раскраской мандалы

• Фоторедактор с квадратным размытием изображения, тонкий корпус

• Редактор видеоблогов и видеомейкер с музыкальными фотографиями

• Зарядное устройство с функциями экономии заряда и оптимизации

• Ускорение и очистка памяти с помощью Ram Optimizer

• Усилитель громкости и эквалайзер, музыкальный проигрыватель MP3

• Phone Cooler Master и охлаждение ЦП 2020

• Fruit VPN: улучшенное подключение Kiwi VPN для смены IP и разблокировки сайтов

Кто-нибудь может пролить свет на то, что это за процесс/приложение? Я считаю, что это системное приложение, созданное Google. Но хотелось бы знать, для чего он используется. Удачи!

Быстрый поиск дал мне это.

Привет, Хавьер. Спасибо, я видел это раньше, извините, что должен был упомянуть об этом. Это действительно не имело для меня никакого смысла. Это также единственное, что я увидел, когда исследовал его.

Приложение также можно удалить с помощью параметра apps-uninstall, поэтому оно не было частью образа прошивки телефона, что означает, что использование команды adb для установки существующего пакета не будет работать com.android.simappdialog. это полное имя.
Удалил, посмотрим, как поживу.

В моем OP7 под управлением 10 его нельзя отключить/удалить.

Ниже приведены простые инструкции по использованию Mobile App Security Test для приложений Android и IOS.

Приложения для Android

Все, что вам нужно, это действительный архив APK для приложения. APK-файлы можно либо скомпилировать из исходного кода приложения, либо, если они уже есть в магазине Google Play, загрузить через F-Droid или androidappsapk.co.

Чтобы протестировать Android APK, выполните следующие действия:

Нажмите кнопку "Выбрать файл" и выберите APK, загрузка файла начнется немедленно.
После загрузки тест займет примерно десять минут, в зависимости от размера и сложности приложения, а также текущей нагрузки на нашу систему.
После завершения теста вам будет предоставлен подробный отчет. Отчет находится по секретной ссылке, доступной только вам. Отчет хранится для вашего удобства в течение 90 дней, а затем автоматически удаляется. Вы можете самостоятельно удалить отчет сразу после проверки.

Приложения iOS

Все, что вам нужно, это действительный архив IPA для приложения, скомпилированного как приложение-симулятор (см. ниже).

Чтобы протестировать iOS IPA, выполните следующие действия:

Нажмите кнопку "Выбрать файл" и выберите IPA, загрузка файла начнется немедленно.
После загрузки тест займет примерно десять минут, в зависимости от размера и сложности приложения, а также текущей нагрузки на нашу систему.
После завершения теста вам будет предоставлен подробный отчет. Отчет находится по секретной ссылке, доступной только вам. Отчет хранится для вашего удобства в течение 90 дней, а затем автоматически удаляется. Вы можете самостоятельно удалить отчет сразу после проверки.

Как скомпилировать ваше приложение iOS как приложение-симулятор:

<р>1. Запустите XCode и откройте свой проект;
2. Щелкните правой кнопкой мыши имя проекта и выберите «Показать в Finder»;
3. Щелкните правой кнопкой мыши YourProject.xcodeproj и перейдите к «Открыть с помощью > Терминал»;
4. Запустите «cd ..» — ваш текущий рабочий каталог теперь является основным каталогом вашего проекта;
5. Определите, для какого симулятора iPhone вы можете выполнить сборку, запустив «xcodebuild -showsdks»;
6. Создайте свое приложение с помощью команды «xcodebuild -arch x86_64 -sdk iphonesimulator»;
7. Перейдите к build/Release-iphonesimulator и заархивируйте файл YourProject.app;

ImmuniWeb Community Edition — тест безопасности мобильного приложения

Тест безопасности мобильных приложений – это бесплатный онлайн-инструмент для тестирования безопасности и конфиденциальности мобильных приложений Android и iOS:

Служба может тестировать мобильные приложения для следующих платформ:

Android
Нативные приложения
Гибридные приложения (Cordova, PhoneGap, React, Xamarin)

iOS
Нативные приложения
Гибридные приложения (Cordova, PhoneGap, React, Xamarin)

Он быстро обнаруживает широкий спектр наиболее распространенных недостатков и уязвимостей, в том числе OWASP Mobile Top 10, и предоставляет удобный отчет с обнаруженными проблемами.

Мы предоставляем следующие автоматизированные тесты мобильного приложения:

Статическое тестирование безопасности приложений (SAST)
Динамическое тестирование безопасности приложений (DAST)
Поведенческое тестирование на вредоносную функциональность и конфиденциальность
Анализ состава программного обеспечения
Исходящий трафик мобильного приложения
Внешняя связь и исходящий трафик

Обратите внимание, что наиболее опасные уязвимости обычно находятся в серверной части мобильных устройств (т. е. в веб-службах и API), а не в приложении. Поэтому, чтобы дополнить ваше тестирование безопасности мобильных устройств, мы настоятельно рекомендуем вам тщательно протестировать серверную часть с помощью ImmuniWeb® MobileSuite.

Тест безопасности мобильных приложений выполняет статическое тестирование безопасности приложений (SAST) для обнаружения следующих слабых мест и уязвимостей:

Тест безопасности мобильных приложений выполняет динамическое тестирование безопасности приложений (DAST) для обнаружения следующих слабых мест и уязвимостей:

Поведение

Тест безопасности мобильного приложения выполняет поведенческое тестирование, чтобы определить, когда мобильное приложение пытается получить доступ к некоторым конфиденциальным функциям или функциям, связанным с конфиденциальностью:

Анализ состава программного обеспечения

Мобильное приложение использует сторонние библиотеки, которые могут представлять угрозу безопасности и конфиденциальности, если они получены из ненадежного источника или устарели. Надежные и общепринятые библиотеки (например, Google SDK, Facebook SDK, Signal SDK) не отображаются.

Внешняя связь и исходящий трафик

Специальный тест SAST выявляет все удаленные хосты, присутствующие в исходном коде мобильного приложения, к которым приложение может подключаться для отправки или получения данных при возникновении определенного события (например, действия пользователя).

Исходящий трафик мобильного приложения

Бесплатный API

ImmuniWeb Community Edition предоставляет бесплатный API для тестирования безопасности мобильных приложений. Он разделяет количество тестов, выполненных через веб-интерфейс:

Тип учетной записи	Тесты в день	Ежемесячная подписка
Нет аккаунта	2	Бесплатно
Бесплатный аккаунт	4	Бесплатно

Премиум API

ImmuniWeb Community Edition также предоставляет расширенный API для большего количества тестов через API или веб-интерфейс:

Государственные школы, местные органы власти и некоммерческие организации могут запросить бесплатный доступ к премиум-API.

Документация по API

Спецификации API

Пример транзакции с использованием CURL

curl -d " app_id= com.viber.voip & store_id= googleplay " " https://www.immuniweb.com/mobile/api/download_apk "

curl -F " malware_check= 0 " -F " hide_in_statistics= 0 " -F " file= @diva-beta.apk " " https://www.immuniweb.com/mobile/api/upload "

Пример ответа сервера

Инструментарий командной строки

Простой интерфейс командной строки для использования бесплатных инструментов ImmuniWeb® Community Edition в конвейерах CI/CD и DevOps.

Установить

Загрузите утилиты с GitHub или используйте git:

Установите сторонние библиотеки Python:

Использование

Проверьте свои приложения iOS или Android на наличие OWASP Mobile Top 10 и других уязвимостей:

./iwtools.py для мобильных устройств --api-key ABCDE-12345-FGHIJ-67890 --refresh " https://play.google.com/store/apps/details/?id=com.example.app "

Проверьте другие параметры командной строки здесь.

Последние протестированные мобильные приложения

Уязвимости и недостатки безопасности мобильных приложений

Имя приложения	Идентификатор приложения	Дата/время тестирования	Недостатки безопасности

Вредоносное ПО для мобильных приложений, обнаруженное VirusTotal

Статистика OWASP по 10 основным уязвимостям мобильных устройств

Исследование безопасности мобильных приложений

Состояние индустрии кибербезопасности в Даркнете

Состояние кибербезопасности в 100 лучших аэропортах мира

Состояние украденных учетных данных в даркнете от Fortune 500

Состояние безопасности приложений в S&P Global World's 100 Banks

Состояние безопасности приложений в крупнейших компаниях FT 500

Часто задаваемые вопросы

Тестирование безопасности мобильных устройств должно включать тестирование безопасности мобильного приложения (например, iOS или Android), серверной части мобильного приложения (например, веб-служб или API-интерфейсов, которые отправляют или получают данные из приложения) и шифрования между ними. Конечная цель тестирования безопасности мобильных устройств — убедиться, что мобильная экосистема безопасна, приватна и отвечает действующим нормативным стандартам, таким как PCI DSS или GDPR. Тестирование безопасности мобильных устройств может быть как ручным (мобильное тестирование на проникновение), так и автоматизированным (мобильное сканирование уязвимостей).

Угрозы безопасности мобильных устройств связаны с мобильным приложением и его серверной частью, а также могут быть связаны с недостаточным или отсутствующим шифрованием между ними. Для использования большинства угроз безопасности и известных уязвимостей конфиденциальности мобильного приложения (например, iOS или Android полностью охвачены списком OWASP Mobile Top 10) требуются определенные условия (например, присутствие злоумышленника в той же сети, что и жертва). , кража устройства или предустановленное вредоносное приложение на устройстве жертвы), поэтому некоторые из них можно считать критическими проблемами.

Уязвимость, заложенная в серверной части мобильного приложения (например, микросервисы и API, которые получают или отправляют данные в мобильное приложение), может содержать критические уязвимости безопасности, позволяющие злоумышленнику, например, получить всю базу данных всех пользователей, которые используют мобильное приложение. Спектр таких уязвимостей довольно широк и хорошо описан списком SANS Top 25 уязвимостей. Наконец, отсутствие или слабое шифрование данных, отправляемых мобильным приложением на серверную часть, может привести к компрометации отдельного пользователя, если злоумышленник имеет доступ к сети, по которой передаются данные.

Большинство уязвимостей мобильной безопасности описаны в списке OWASP Mobile Top 10. К ним относятся различные недостатки и неправильные настройки мобильного приложения, как для iOS, так и для Android, которые при определенных обстоятельствах могут позволить злоумышленнику поставить под угрозу безопасность данных мобильного приложения, мобильное устройство или даже всю мобильную инфраструктуру, которая обслуживает всех пользователей мобильного приложения.

OWASP – это некоммерческая организация, занимающаяся вопросами безопасности приложений и управляемая открытым сообществом профессионалов в области безопасности практически из всех стран мира. OWASP Top 10 — это список самых популярных уязвимостей веб-приложений, который обновляется каждые три года. OWASP Mobile Top 10 — это список наиболее распространенных недостатков мобильных приложений, который также регулярно обновляется. Вокруг этих списков есть некоторые разногласия, связанные с включением или исключением некоторых конкретных типов уязвимостей. Поэтому рекомендуется расширить OWASP Top 10, тестируя более полный список недостатков безопасности, например, SANS Top 25.

Мобильное приложение должно быть протестировано на наличие угроз безопасности, конфиденциальности и соответствия требованиям, которые могут поставить под угрозу не только отдельного пользователя мобильного приложения, но и всю экосистему мобильного приложения, например, внешние базы данных, в которых хранятся данные обо всех пользователях приложения. Наиболее популярными способами тестирования безопасности мобильных приложений являются статическое (SAST), динамическое (DAST) и интерактивное (IAST) тестирование. SAST обычно включает доступ к исходному коду приложения или при определенных обстоятельствах запускает фаззинг двоичного файла.DAST подразумевает фаззинг и сканирование работающего мобильного приложения путем взаимодействия с различными встроенными функциями и возможностями приложения.

В то время как IAST представляет собой своего рода комбинацию SAST и DAST, дополненную различными коррелирующими механизмами. Чтобы убедиться, что безопасность мобильного приложения ослаблена уязвимыми сторонними или собственными библиотеками, также рекомендуется выполнить тестирование приложения с помощью анализа состава программного обеспечения (SCA). Вы можете запустить все эти тесты в своем приложении для iOS или Android с помощью бесплатного мобильного онлайн-сканера ImmuniWeb Community Edition.

iOS заслуженно считается безопасной операционной системой для мобильных устройств. Это проприетарная система Apple с закрытым исходным кодом. Его близость делает исследование внешних уязвимостей трудоемким и сложным. Важно отметить, что все мобильные приложения, доступные в Apple Store, строго блокируются и регулярно контролируются специалистами Apple по безопасности для удаления вредоносных приложений или приложений, которые могут поставить под угрозу конфиденциальность пользователей.

Кроме того, экосистема безопасности Apple также включает проприетарные механизмы безопасности, встроенные в ее оборудование, что делает некоторые направления атак на устройства невозможными на всех уровнях. Таким образом, по сравнению с другими современными поставщиками мобильных устройств, консолидированный подход Apple к безопасности устройств эффективно продвигает операционную систему iOS среди других мобильных операционных систем. Чтобы сохранить безопасность iOS, избегайте джейлбрейка устройства, если у вас нет для этого четкой цели и вы не понимаете все риски, связанные с взломанным устройством.

iOS считается безопасной проприетарной системой, поддерживаемой и постоянно улучшаемой Apple. Чтобы убедиться, что ваша установка iOS безопасна, сначала убедитесь, что ваше устройство обновлено. Apple регулярно выпускает исправления безопасности и надежности, и их своевременная установка необходима для безопасности вашего устройства.

Учитывая разнообразие версий Android, поддерживаемых разными поставщиками, и открытость экосистемы приложений, безопасность Android во многом зависит от устройства, конкретной ветви и версии операционной системы Android, которые у вас есть. Крайне важно убедиться, что ваше устройство Android обновлено до последней версии, поставщик своевременно выпускает обновления безопасности и обеспечивает плавный механизм автоматической установки новых доступных обновлений безопасности.

Убедившись, что операционная система вашего устройства обновлена, тщательно проверьте установленные приложения и особенно их разрешения. Это связано с тем, что разработчики-злоумышленники часто запрашивают множество навязчивых разрешений, которые должны быть предоставлены пользователями, не разбирающимися в технологиях, и, кроме того, более старые версии Android имеют небезопасные механизмы управления разрешениями, предоставляя постоянное разрешение приложению (после его установки) на доступ вашей камеры или SMS, например. Наконец, избегайте рутирования вашего устройства Android, если у вас нет для этого конкретной цели, и осознайте риски для безопасности и конфиденциальности, которые это может принести.

SAST означает статическое тестирование безопасности приложений. Это подразумевает доступ к исходному коду, а иногда и к двоичному коду приложения для тестирования. DAST — это динамическое тестирование безопасности приложений, которое включает в себя фаззинг и сканирование работающего приложения для взаимодействия с его функциями и функциями во время работы приложения.

У обоих методов есть свои плюсы и минусы, и рекомендуется их комбинировать, чтобы добиться максимального охвата уязвимостей и обеспечить целостное тестирование безопасности. Вы можете запустить тестирование безопасности вашего мобильного приложения как SAST, так и DAST с помощью бесплатного онлайн-теста безопасности от ImmuniWeb Community Edition.

Взломанные SIM-карты позволяют шпионить. Мы объясняем, как и почему.

30 сентября 2019 г.

Недавно эксперты AdaptiveMobile Security обнаружили метод атаки на мобильные телефоны, который можно осуществить с помощью обычного компьютера и дешевого USB-модема. В то время как для некоторых старых методов наблюдения за сотовой связью требовалось специальное оборудование и лицензия на осуществление телекоммуникационных операций, эта атака, называемая Simjacker, использует уязвимость, обнаруженную в SIM-картах.

Все дело в браузере S@T

Большинство SIM-карт, выпущенных с начала 2000-х годов, включая eSIM, имеют меню оператора связи. В это меню входят такие задачи, как «Проверка баланса», «Пополнение счета», «Техническая поддержка», а иногда и дополнительные функции, такие как «Погода» или даже «Гороскоп» и так далее. На старых телефонах это было прямо в главном меню. iOS прячет его глубоко в настройках (в приложении для SIM-карты), а на смартфонах Android это отдельное приложение под названием SIM Toolkit.

Меню по сути представляет собой приложение, точнее, несколько приложений с общим названием SIM Toolkit (STK), но эти программы запускаются не на самом телефоне, а на SIM-карте. Помните, что ваша SIM-карта на самом деле представляет собой крошечный компьютер со своей операционной системой и программами.STK реагирует на внешние команды, такие как нажатие кнопок в меню оператора, и заставляет телефон выполнять определенные действия, например, отправлять SMS-сообщения или USSD-команды.

Одно из приложений, включенных в STK, называется S@T Browser. Используется для просмотра веб-страниц определенного формата и страниц, расположенных во внутренней сети оператора связи. Например, S@T Browser может предоставить информацию о балансе вашего счета.

Приложение S@T Browser не обновлялось с 2009 года, и хотя в современных устройствах его функции выполняют другие программы, S@T Browser до сих пор активно используется или, по крайней мере, до сих пор устанавливается на многие SIM-карты. карты. Исследователи не назвали конкретные регионы или операторов связи, которые продают SIM-карты с установленным этим приложением, но утверждают, что им пользуются более 1 миллиарда человек не менее чем в 30 странах, и именно в S@T Browser была обнаружена вышеупомянутая уязвимость.< /p>

Атаки Simjacker

Атака начинается с SMS-сообщения, содержащего набор инструкций для SIM-карты. Следуя этим инструкциям, SIM-карта запрашивает у мобильного телефона его серийный номер и Cell ID базовой станции, в зоне действия которой находится абонент, и отправляет SMS-ответ с этой информацией на номер злоумышленника.

Координаты базовых станций известны (и даже доступны онлайн), поэтому по Cell ID можно определить местоположение абонента в пределах нескольких сотен метров. В частности, службы определения местоположения используют тот же принцип для определения местоположения без помощи спутников, например, в помещении или при выключенном GPS.

Все действия со взломанной SIM-картой совершенно незаметны для пользователя. Ни входящие SMS-сообщения с командами, ни ответы с данными о местоположении устройства не отображаются в приложении «Сообщения», поэтому жертвы Simjacker, скорее всего, даже не подозревают, что за ними ведется слежка.

Кого ударил Симджекер?

По данным AdaptiveMobile Security, шпионы отслеживают местонахождение людей в нескольких неуказанных странах. И в одном из них ежедневно компрометируется порядка 100–150 номеров. Обычно запросы отправляются не чаще одного раза в неделю; однако передвижения некоторых жертв отслеживаются гораздо тщательнее — исследовательская группа заметила, что нескольким получателям в неделю было отправлено несколько сотен вредоносных SMS-сообщений.

Атаки типа Simjacker могут пойти намного дальше

Как отмечают исследователи, киберпреступники не использовали все возможности SIM-карты, доступные в S@T Browser. Например, с помощью SMS можно звонить на любой номер, отправлять сообщения со случайным текстом на произвольные номера, открывать ссылки в браузере и даже отключать SIM-карту, оставляя жертву без телефона.

Уязвимость открывает многочисленные потенциальные сценарии атак — преступники могут перевести деньги по SMS на номер банка, позвонить на короткие номера с повышенным тарифом, открыть фишинговые страницы в браузере или загрузить троянские программы.

Уязвимость особенно опасна, поскольку она не зависит от устройства, в которое вставлена уязвимая SIM-карта; набор команд STK стандартизирован и поддерживается всеми телефонами и даже устройствами IoT с SIM-картой. Для некоторых операций, например совершения звонка, некоторые гаджеты запрашивают подтверждение пользователя, но многие этого не делают.

Как пользователь может предотвратить атаки Simjacker?

К сожалению, для пользователей не существует автономного метода предотвращения атак на SIM-карты. Мобильные операторы обязаны обеспечивать безопасность своих клиентов. Прежде всего, им следует избегать использования устаревших приложений SIM-меню, а также блокировать SMS-код, содержащий опасные команды.

Но есть и хорошие новости. Хотя для проведения атаки не требуется дорогостоящее оборудование, она требует довольно глубоких технических знаний и специальных навыков, а это означает, что этот метод вряд ли будет использоваться каждым киберпреступником и его собакой.

Более того, исследователи уведомили разработчика S@T Browser, SIMalliance, об уязвимости. В ответ компания выпустила набор правил безопасности для операторов, использующих приложение. Об атаках Simjacker также сообщили в GSM Association — международную организацию, представляющую интересы мобильных операторов по всему миру. Поэтому есть надежда, что компании примут все необходимые защитные меры при первой же возможности.

Читайте также: