Il team di ricercatori della Adaptive Mobile Security ha divulgato la scoperta di una gravissima falla sul microsoftware S@T Browser su cui si basano oltre un miliardo di SIM degli operatori di almeno 30 paesi.
Tale vulnerabilità, chiamata non a caso SimJacker,risiedendo sulla SIM può essere sfruttata indipendentemente dal tipo di dispositivo usato dalla vittima.
S@T Browser, il SIM Application Toolkit (STK) presente nella maggior parte delle schede SIM ed eSIM, consente lo scambio di comandi fra SIM e rete telefonica permettendo di creare una struttura di menu a più livelli per la presentazione di nuovi servizi. I dati così scambiati con l’utente o semplicemente presenti nella SIM, vengono elaborati dal software presente appunto nella scheda.
Tale vulnerabilità risulta sfruttabile attraverso SMS inviati da comuni modem GSM e consente di ottenere accesso totale alle funzioni del dispositivo fornendo al malintenzionato un’ampia gamma di attacchi praticabili: dallo spionaggio ambientale a varie tipologie di truffe, il tutto in maniera assolutamente invisibile.
Adaptive Mobile Security specifica che SimJacker sfrutta una vecchia tecnologia le cui specifiche sono rimaste invariate dal 2009 e “contiene un elenco di istruzioni che la carta SIM è costretta a eseguire”.
SimJacker, afferma Adaptive Mobile Security, è utilizzato da almeno due anni da un’azienda privata che collabora con i governi di alcuni paesi.
da Medusa Investigazioni