Cybersecurity-onderzoekers waarschuwden woensdag voor kwaadaardige software in sms-berichten die doen alsof ze van telecomproviders zijn, een deur openen voor hackers om Android-smartphones aan te vallen.

Een rapport uitgebracht door Check Point beschreef een "nieuwe klasse van phishing-aanvallen" die, wanneer succesvol, kan hackers e-mails laten stelen van Android-smartphones gemaakt door Huawei, LG, Samsung en Sony.

De aanval is gebaseerd op sms-berichten die lijken alsof ze afkomstig zijn van vertrouwde telecomproviders die vragen om de netwerkinstellingen bij te werken, volgens Checkpoint.

Door de "over-the-air provisioning" op een smartphone toe te staan, krijgt de aanvaller toegang tot e-mails, het rapport vermeld.

"Wanneer u voor het eerst lid wordt van een nieuw netwerk van providers, je krijgt een warm welkomstbericht van je koerier - vertrouw het niet, ", zei Check Point-beveiligingsonderzoeker Slava Makkaveev.

"Gewoon, we kunnen die teksten niet meer vertrouwen."

De aanval kan op grote schaal worden uitgevoerd zonder speciale uitrusting, gewoon een USB-dongle die kan worden gekocht voor $ 10 of zo, volgens Checkpoint.

Onderzoekers zeiden dat ze de aanval op een reeks smartphones hebben getest en de respectievelijke apparaatmakers begin dit jaar op de hoogte hebben gebracht van hun bevindingen.

Samsung en LG hebben de kwetsbaarheid in updates van beveiligingssoftware verholpen, en Huawei was van plan hetzelfde te doen in zijn volgende generatie Mate- en P-serie smartphones, aldus de onderzoekers.

"Hoewel er patches in de maak zijn met benoemde Android-leveranciers, berichten van vertrouwde mobiele providers zijn, in feite, niet te vertrouwen, ’, stelt het beveiligingsbedrijf.

Het rapport komt dagen nadat Google-onderzoekers rapporteerden over een hackoperatie waarbij aanvallers gedurende een periode van ten minste twee jaar kwaadaardige software op de iPhone konden plaatsen.

Onderzoekers hebben ook hun bezorgdheid geuit over "SIM-swap"-fraude waarmee een aanvaller een telefoonnummer kan overnemen. en mogelijk andere accounts, een truc die werd gebruikt bij de korte overname van het Twitter-account van de CEO van het platform, Jack Dorsey.

© 2019 AFP