注意！注意！基于短信的網(wǎng)絡釣魚攻擊可輕易誘使數(shù)十億安卓用戶修改自身設備關鍵網(wǎng)絡設置。

手機更換新 SIM 卡，首次接入蜂窩網(wǎng)絡時，運營商服務會自動設置，或向用戶發(fā)送一條包含接入數(shù)據(jù)服務所需特定網(wǎng)絡設置的短信。

手動安裝到手機上時，有誰注意過這些所謂的 OMA CP 消息到底包含了什么配置嗎？

想必只要移動互聯(lián)網(wǎng)服務順暢，沒人關心這些短信都是什么內(nèi)容。

但用戶真的應該關注下這些設置，因為安裝不可信設置有可能令用戶數(shù)據(jù)隱私面臨風險，讓遠程攻擊者得以監(jiān)視你的數(shù)據(jù)通信。

移動運營商發(fā)送的 OMA CP（開放移動聯(lián)盟客戶端配置）消息包含接入點名稱 (APN)，還有手機連接運營商移動網(wǎng)絡和公共互聯(lián)網(wǎng)服務間網(wǎng)關所需的其他配置信息。

APN 設置信息包含配置 HTTP 代理（路由 Web 流量用）的可選字段，但很多運營商使用的是無需設置此字段的透明代理。

除了代理設置，OMA CP 配置消息還可包含無線 (OTA) 修改下列設置的信息：

• 彩信 (MMS) 消息服務器

• 代理地址

• 瀏覽器主頁和收藏夾

• 郵件服務器

• 用于同步聯(lián)系人和日程的目錄服務器等

Check Point 新發(fā)布的報告指出，某些設備制造商（包括三星、華為、LG 和索尼）實現(xiàn)的弱身份驗證配置消息，可致用戶受遠程黑客欺騙，將自身設備配置更新為使用惡意黑客控制下的代理服務器。

如此一來，攻擊者即可輕易攔截目標設備通過其數(shù)據(jù)運營商服務建立的一些網(wǎng)絡連接，包括 Web 瀏覽器和內(nèi)置電子郵件客戶端。

研究人員稱，僅需一條短信，你的電子郵件就完全暴露在遠程黑客眼前了。

此類攻擊中，遠程黑客可誘騙用戶接受新的手機設置，比如說，路由用戶的所有互聯(lián)網(wǎng)流量，通過自身控制下的代理盜取電子郵件。

“更嚴重的是，只要接入蜂窩網(wǎng)絡就有可能淪為此類網(wǎng)絡釣魚攻擊的目標，也就是說，用戶都不用連接 Wi-Fi 網(wǎng)絡，自己的私密電子郵件數(shù)據(jù)就會被網(wǎng)絡攻擊者悄悄抽取了?！?/p>

然而，就像設置 Wi-Fi 連接代理一樣，移動數(shù)據(jù)網(wǎng)絡代理設置也不是手機上的每個應用都會采用。是否采用該代理設置，取決于應用是否被設計成接受該用戶配置的代理。

而且，該代理服務器也不能解密 HTTPS 連接；因此，該技術(shù)僅適用于攔截不安全連接。

Check Point 安全研究員 Slava Makkaveev 向媒體透露稱：“這是針對電子郵件的新型網(wǎng)絡釣魚攻擊。因為是個極具特異性的問題，起初還難以分類該漏洞。這可能是到目前為止我見過的針對電子郵件的最先進網(wǎng)絡釣魚攻擊?！?/p>

說回 Check Point 研究人員在配置信息身份驗證中發(fā)現(xiàn)的漏洞，行業(yè)標準建議的 OTA 配置安全規(guī)范，并未強制要求運營商采用 USERPIN、NETWPIN 或其他方法，合理驗證客戶端配置 (CP) 消息。

因此，消息接收方（被黑客盯上的目標用戶）無法驗證該包含新設置的 OMA CP 消息是否源自其網(wǎng)絡運營商，給攻擊者留下了利用該漏洞的機會。

研究人員解釋道：“更危險的是，任何人都可以花 10 美元買個 USB 加密狗，[發(fā)送虛假 OMA CP 消息]，執(zhí)行大范圍網(wǎng)絡釣魚攻擊。該攻擊無需特殊裝備即可實施?！?/p>

該網(wǎng)絡釣魚 CP 消息既可以是高度針對性的，比如在之前先發(fā)送專為欺騙特定接收者而特別定制的短信；也可以是廣撒網(wǎng)式的，期待至少某些接收者夠輕信，不驗證真實性就接受 CP 消息。

研究人員已于 2019 年 3 月向受影響安卓手機供應商通報了他們的發(fā)現(xiàn)。三星和 LG 分別在其 5 月和 7 月安全維護發(fā)布中解決了該問題。

華為準備在下一代 Mate 系列或 P 系列智能手機中修復該問題。索尼則拒絕承認該問題，聲稱自己的手機設備遵循了 OMA CP 規(guī)范。

研究人員建議，即使打上了補丁，用戶也不要盲目相信來自移動運營商的消息，不要輕信互聯(lián)網(wǎng)上聲稱幫助用戶解決數(shù)據(jù)運營商服務問題的 APN 設置。

詳見Check Point 相關研究成果：

https://research.checkpoint.com/advanced-sms-phishing-attacks-against-modern-android-based-smartphones/