Cuando hablamos de vulnerabilidades y fallos de seguridad, por lo general, solemos referirnos a un malware que infecta el dispositivo a través de una app maliciosa o un enlace de dudosa procedencia. No es el caso que hoy nos ocupa, puesto que Simjacker es una vulnerabilidad crítica encontrada en las tarjetas SIM. ¿Qué quiere decir esto? Que afecta a iOS y Android a partes iguales.
La vulnerabilidad, como adelantaban en Xataka, ha sido descubierta por AdaptativeMobile Security, que cree que "ha sido explotada durante al menos dos años por un amenazante y sofisticado actor en varios países, principalmente por motivos de vigilancia". Describen Simjacker y sus exploits asociados como "un gran salto en complejidad y sofisticación comparado con otros ataques vistos previamente". Para más inri, no hay nada que los usuarios puedan hacer.
Una cuestión del la tarjeta SIM
Esquema del funcionamiento de Simjacker.
El ataque comienza con un SMS formateado con una "especie de código spyware" que contiene órdenes para la UICC (siglas de "Universal Integrated Circuit Card" y más conocida comúnmente como tarjeta SIM). Dichas órdenes se pueden ejecutar explotando S@T Browser, una parte del sistema operativo de las tarjetas SIM antiguas. Porque sí, S@T Browser ya no se usa, pero sigue presente en los tarjetas SIM de más de mil millones de usuarios a nivel global.
Cuando se ejecuta el código, este recopila información de la tarjeta SIM como nuestra ubicación o el número IMEI para, posteriormente, mandarlo como SMS al atacante. Todo este proceso (simplificado para fines ilustrativos) se ejecuta en segundo plano y sin ningún tipo de conocimiento por parte del usuario (el SMS enviado no se queda registrado en la app de mensajes).
Pero no solo puede recabar esa información, sino que Simjacker permite reproducir sonido, apagar la tarjeta, lanzar el navegador, enviar datos, enviar mensajes multimedia o SMS... Así, se convierte en una vulnerabilidad que podría usarse para varios fines, desde fraude y suplantación de identidad hasta espionaje.
No se queda ahí, sino que dado que es una vulnerabilidad de las tarjetas SIM, afecta de igual manera a iOS y Android. De hecho, desde AdaptativeMobile afirman que han podido explotarlo en dispositivos Apple, ZTE, Motorola, Samsung, Google, Huawei y hasta en gadgets IoT sin tarjetas SIM.
Desde la empresa no han desvelado el nombre de la compañía que lo ha explotado (porque tampoco lo tienen del todo claro), pero adelantan que creen que es una empresa privada y que hay un país (tampoco lo revelan) en el que entre 100 y 150 personas son atacadas a diario con Simjacker, aunque han detectado picos de hasta 300 números.
Decíamos antes que no hay nada que los usuarios puedan hacer. La pelota está en el campo de las operadoras, que podrían, según AdaptativeMobile, cambiar la configuración de las UICC de forma remota o hasta desinstalar S@T Browser. La vulnerabilidad ya ha sido puesta en conocimiento de la GSMA, de la SIM Alliance y de algunas operadoras.
Vía | AdaptativeMobile
