ATak na Androida: modemowe komendy standardu z lat 80 pozwalają przejąć kontrolę nad smartfonem

Standard AT (od ATtention, „uwaga”) firmy Hayes powstał w1981 roku jako zestaw komend do sterowania modemem analogowym 300 b/si bardzo szybko stał się światowym standardem komunikacyjnym.Pozwalał na przełączanie modemu między trybami danych isterowania – wystarczyło wysłać specjalną sekwencję +++ zokoło sekundową pauzą, by modem zaczął wyczekiwać na zdalniewysyłane rozkazy. Uwierzytelnienie? W 1981 roku nie myślanospecjalnie o takich rzeczach. Każdy mógł więc wysyłać różneciągi poleceń AT, pozwalające na robienie różnych rzeczy zmodemem.

Przeskoczmy 37 lat do przodu. Dzisiaj typowy użytkownik smartfonunie ma zwykle pojęcia, że urządzenie to zawiera zintegrowanymodem, pozwalający m.in. na połączenia sieciowe po protokołachtelefonii komórkowej. Modem ten oczywiście obsługuje polecenia AT,ale nie tylko te standardowe… przez dziesięciolecia producencidodawali swoje własne rozszerzenia do standardu Hayesa,wprowadzające polecenia czasem bardzo zaskakujące – np.pozwalające sterować kamerą urządzenia.

To jednak tylko wierzchołek góry lodowej. Liczba tychwymyślonych przez producentów poleceń AT idzie w tysiące, a wielez nich daje dostęp do bardzo niebezpiecznych funkcji. Badaniaprzeprowadzone przez informatyków z University of Florida, StonyBrook University oraz Samsung Research America ujawniłyniespodziewany wektor ataku, poprzez który można obejśćzabezpieczenia smartfonów najpopularniejszych producentów.

Eksperci przeanalizowali ponad 2000 obrazów firmware urządzeń zAndroidem producentów takich jak Asus, Google, HTC, Huawei, Lenovo,LG, Motorola, Samsung, Sony i ZTE. Zbadano też popularne niezależnefirmware Lineage OS.

Zbadane smartfony obsługiwały łącznie ponad 3500 komend AT, awszystkie z nich były dostępne poprzez interfejs USB. Innymi słowynapastnik mający fizyczny dostęp do urządzenia, lub też zdolny doumieszczenia w ładowarce lub stacji dokującej swojego komponentu,mógł wykonać na zaatakowanym urządzeniu sekwencję odpowiednichpoleceń AT.

A co można za pomocą takich poleceń zrobić? Praktyczniewszystko. Możliwe jest omijanie ekranu blokady, wydobycie wrażliwychinformacji, symulowanie zdarzeń dotykowych a nawet wgranie nowegofirmware.

Wydawać by się mogło, że Android z wyłączoną funkcjądebugowania po USB nie powinien przyjmować takich poleceń, jednakniestety tak było tylko w nielicznych modelach. Wiele urządzeńprzyjmowało polecenia nawet wtedy, gdy telefony były całkowiciezablokowane. Zachowanie takie było tajemnicą producenta, nigdzienieudokumentowaną.

O tej niewątpliwie miłej sercom szpiegów i policjantówfunkcjonalności badacze poinformowali już producentów. Użytkownicymogą sami sprawdzić, co im zagraża, dzięki stronie atcommands.org– znajdziemy tam opis obrazów firmware 10 producentów sprzętu(oraz wspomnianego LineageOS-a). Dla każdego z nich znajdziemy listętych tajnych komend AT, które naprawdę nie powinny istnieć.

Możliwości ataku za pomocą tych komend możemy zobaczyć naponiższym filmie. Jak widać, napastnik może przejąć pełnąkontrolę nad urządzeniem i zainstalować złośliwe aplikacje dodalszej inwigilacji ofiary. Zainteresowani zbadaniem firmwarewłasnego telefonu mogą skorzystać ze skryptu opublikowanego naGitHubie.

Czy to odkrycie oznacza, że iPhone jest bezpieczny? To siędopiero okaże. Badacze zapowiedzieli, że w dalszej kolejnościwezmą się za urządzenia Apple’a, sprawdzą też, czy komendy ATmożna przesłać inną drogą niż tylko USB.

Więcej informacji znajdziecie w artykulezatytułowanym ATtention Spanned: Comprehensive VulnerabilityAnalysis of AT Commands Within the Android Ecosystem”,opublikowanym wśród prac tegorocznego sympozjum bezpieczeństwaUsenix.