تحديات الذكاء الصناعي في جعل الربوت له مشاعر مثل البشر

خبراء يكشفون عمليات "تجسس واسعة" عبر شرائح الهاتف

شركة "أدابتيف موبايل" المتخصصة في الأمن الرقمي  تكشف عن ثغرات خطيرة في امن الشرائح الهاتف حيث أصدرت مقالا مطول نلخصه ونترجمه لكم من موقعها adaptivemobile :

اليوم نعلن عن وجود ثغرات أمنية وما يستتبعها من مآثر نطلق عليها اسم Simjacker. نعتقد أنه تم استغلال هذه الثغرة الأمنية على الأقل خلال العامين الماضيين على الأقل من قبل ممثل تهديد متطور للغاية في بلدان متعددة ، وذلك في المقام الأول لأغراض المراقبة. بخلاف التأثير على ضحاياه ، من تحليلنا ، Simjacker والمآثر المرتبطة به هي قفزة هائلة في التعقيد والتطور مقارنة بالهجمات التي شوهدت من قبل عبر الشبكات الأساسية المحمولة. إنه يمثل تصعيدًا كبيرًا في مهارات وقدرات المهاجمين الذين يسعون إلى استغلال شبكات المحمول.

سنقدم تفاصيل تقنية عن Simjacker خلال مؤتمر Virus Bulletin ، لندن ، 3 أكتوبر 2019 ، لكن في هذه المدونة سنقدم نظرة عامة على Simjacker ، وكيف يعمل ، ومن المحتمل أن يستغلها ، بالإضافة إلى سبب أهميتها. نوع جديد من الهجوم.

كيف تعمل

في أبسط صوره ، يتضمن هجوم Simjacker الرئيسي رسالة نصية قصيرة تحتوي على نوع معين من التعليمات البرمجية الشبيهة ببرامج التجسس التي يتم إرسالها إلى هاتف جوال ، ثم يرشد UICC (بطاقة SIM) داخل الهاتف إلى "الاستيلاء" على الهاتف المحمول ، من أجل لاسترداد وتنفيذ الأوامر الحساسة.

يبدأ الهجوم عندما يتم إرسال رسالة نصية قصيرة - نسميها "رسالة الهجوم" الخاصة بـ Simjacker - إلى الهاتف المستهدف. تحتوي رسالة مهاجمة Simjacker ، المرسلة من هاتف آخر ، أو مودم GSM أو حساب إرسال رسائل SMS متصل بحساب A2P ، على سلسلة من تعليمات مجموعة أدوات SIM (STK) ، وهي مصممة خصيصًا ليتم نقلها إلى UICC / eUICC (SIM بطاقة) داخل الجهاز. لكي تنجح هذه الإرشادات ، يستغل الهجوم وجود برنامج معين ، يسمى مستعرض S @ T - الموجود على UICC. بمجرد استلام رسالة الهجوم Simjacker بواسطة UICC ، تستخدم مكتبة مستعرض S @ T كبيئة تنفيذ على UICC ، حيث يمكنها تشغيل منطق على الهاتف. بالنسبة للهجوم الرئيسي الذي تمت ملاحظته ، يطلب رمز Simjacker الذي يعمل على UICC الموقع ومعلومات الجهاز المحددة (IMEI) من الهاتف. بمجرد استرداد هذه المعلومات ، يقوم رمز Simjacker الذي يعمل على UICC بجمعها وإرسال المعلومات المجمعة إلى رقم المستلم عبر رسالة نصية قصيرة أخرى (نسميها "رسالة البيانات") ، مرة أخرى عن طريق تشغيل المنطق على الهاتف. تُعد "رسالة البيانات" هذه الطريقة التي يمكن من خلالها ترجمة الموقع ومعلومات IMEI إلى هاتف بعيد يسيطر عليه المهاجم.

أثناء الهجوم ، لا يدرك المستخدم تمامًا أنه تلقى الرسائل النصية القصيرة SMS مع رسالة Simjacker Attack ، وأنه تم استرداد تلك المعلومات ، وأنه تم إرسالها إلى الخارج في رسالة SMS Data Data - لا يوجد أي مؤشر في أي صندوق بريد أو صندوق بريد SMS.

ما الذي يجعل هذا الهجوم يعمل ولماذا هو خاص؟

يعتمد الهجوم على كل من رسائل SMS المحددة المسموح بها ، وبرنامج S @ T Browser الموجود على UICC في الهاتف المستهدف. تم عرض رسائل SMS محددة تستهدف بطاقات UICC من قبل حول كيفية استغلالها لأغراض ضارة. يعتمد هجوم Simjacker على مقاربة مختلفة ، ويقوم بتبسيط الهجوم وتوسيعه إلى حد كبير من خلال الاعتماد على برنامج S @ T Browser كبيئة تنفيذ. متصفح S @ T (وضوحا sat) - أو متصفح SIMalliance Toolbox لإعطائه اسمه الكامل - هو تطبيق محدد بواسطة SIMalliance ، ويمكن تثبيته على مجموعة متنوعة من بطاقات UICC (SIM) ، بما في ذلك eSIMs. برنامج S @ T Browser هذا غير معروف ، قديم جدًا ، وكان غرضه الأولي هو تمكين خدمات مثل الحصول على رصيد حسابك من خلال بطاقة SIM. على المستوى العالمي ، تم استبدال وظيفتها في الغالب بواسطة تقنيات أخرى ، ولم يتم تحديث مواصفاتها منذ عام 2009 ، ومع ذلك ، مثل العديد من التقنيات القديمة ، لا تزال تستخدم أثناء بقائها في الخلفية. في هذه الحالة ، لاحظنا بروتوكول S @ T الذي تستخدمه شركات تشغيل الهواتف المحمولة في 30 دولة على الأقل يزيد عدد سكانها التراكمي عن أكثر من مليار شخص ، لذلك من المحتمل أن يتأثر عدد كبير من الأشخاص. من المحتمل أيضًا أن يكون لدى بلدان إضافية مشغلي شبكات للهاتف المحمول يواصلون استخدام التكنولوجيا على بطاقات SIM محددة.

هذا الهجوم فريد من نوعه أيضًا ، حيث يمكن تصنيف رسالة الهجوم Simjacker منطقيًا على أنها تحمل حمولة كاملة من البرامج الضارة ، وخاصة برامج التجسس. هذا لأنه يحتوي على قائمة بالتعليمات التي يتعين على بطاقة SIM تنفيذها. نظرًا لأن البرامج هي في الأساس قائمة من الإرشادات ، والبرامج الضارة هي برامج "سيئة" ، فإن هذا قد يجعل Simjacker يستغل أول حالة حقيقية من البرامج الضارة (خاصة برامج التجسس) المرسلة في رسالة نصية قصيرة. البرامج الضارة السابقة المرسلة عن طريق الرسائل القصيرة - مثل الحوادث التي كشفنا عنها هنا - تضمنت إرسال روابط إلى البرامج الضارة ، وليس البرامج الضارة نفسها في رسالة كاملة.

خارج الموقع

ومع ذلك ، فإن الجدة وإمكانات Simjacker لا تتوقف عند هذا الحد. يعد استرداد موقع شخص ما شيئًا واحدًا ، ولكن باستخدام نفس التقنية وتعديل رسالة الهجوم ، يمكن للمهاجم توجيه تعليمات إلى UICC بتنفيذ مجموعة من الهجمات الأخرى. هذا لأنه باستخدام نفس الطريقة التي يتمتع بها المهاجم في الوصول إلى مجموعة أوامر STK الكاملة ، فإن بعض الأمثلة على أوامر STK هذه هي:

PLAY TONE             

•           SEND SHORT MESSAGE

•           SET UP CALL

•           SEND USSD

•           SEND SS

•           PROVIDE LOCAL INFORMATION

o          Location Information, IMEI, Battery, Network, Language, etc

•           POWER OFF CARD

•           RUN AT COMMAND

•           SEND DTMF COMMAND

•           LAUNCH BROWSER

•           OPEN CHANNEL

o          CS BEARER, DATA SERVICE BEARER, LOCAL BEARER, UICC SERVER MODE, etc

•           SEND DATA

•           GET SERVICE INFORMATION

•           SUBMIT MULTIMEDIA MESSAGE

•           GEOGRAPHICAL LOCATION REQUEST

باستخدام هذه الأوامر في اختباراتنا الخاصة ، تمكنا من جعل الهواتف المستهدفة تفتح متصفحات الويب ، وترن الهواتف الأخرى ، وترسل رسائل نصية وما إلى ذلك. هذه الهجمات يمكن استخدامها لتحقيق أغراض مثل

• سوء المعلومات (على سبيل المثال عن طريق إرسال رسائل SMS / MMS مع محتوى يتحكم فيه المهاجم)

• الاحتيال (على سبيل المثال عن طريق طلب أرقام الأسعار المميزة) ،

• التجسس (بالإضافة إلى الموقع الذي يسترجع الهجوم ، أي جهاز مهاجم ، يمكن أن يعمل كجهاز استماع ، عن طريق رنين رقم) ،

• انتشار البرامج الضارة (عن طريق إجبار المتصفح على فتح صفحة ويب مع وجود برامج ضارة عليها)

• رفض الخدمة (على سبيل المثال عن طريق تعطيل بطاقة SIM)

• استرجاع المعلومات (استرجاع معلومات أخرى مثل اللغة ونوع الراديو ومستوى البطارية وما إلى ذلك)

قد يكون من الممكن المضي قدمًا - اعتمادًا على نوع الهاتف - الذي سنناقشه في عرض VB2019 الخاص بنا. ومما يدعو إلى القلق أننا لسنا الأشخاص الوحيدين الذين يفكرون في هذه الهجمات الإضافية ، على مدار الأسابيع والأشهر القليلة الماضية ، لاحظنا أن المهاجمين أنفسهم يجربون هذه القدرات المختلفة.

أخيرًا ، هناك فائدة أخرى لـ Simjacker من وجهة نظر المهاجم وهي أن العديد من هجماته تعمل بشكل مستقل عن أنواع الهواتف ، نظرًا لأن الثغرة الأمنية تعتمد على البرنامج على UICC وليس على الجهاز. لقد لاحظنا أن الأجهزة من كل مصنع تقريبًا يتم استهدافها بنجاح لاسترداد الموقع: أجهزة Apple و ZTE و Motorola و Samsung و Google و Huawei وحتى IoT مع بطاقات SIM. ملاحظة مهمة واحدة هي أنه بالنسبة لبعض الهجمات المحددة ، لا يهم أنواع الهواتف. يحتاج البعض ، مثل إعداد مكالمة ، إلى تفاعل المستخدم للتأكيد ، لكن هذا غير مضمون وقد لا تطلب الهواتف القديمة أو الأجهزة التي لا تحتوي على لوحة مفاتيح أو شاشات (مثل جهاز إنترنت الأشياء) ذلك.

من يفعل هذا

السؤال التالي إذن هو من الذي يستغل هذا ولماذا؟ نحن على ثقة تامة بأن هذا الاستغلال تم تطويره بواسطة شركة خاصة معينة تعمل مع الحكومات لمراقبة الأفراد. بالإضافة إلى إنتاج برامج التجسس هذه ، تتمتع هذه الشركة نفسها أيضًا بوصول واسع النطاق إلى الشبكة الأساسية لـ SS7 و Diameter ، كما رأينا بعض ضحايا Simjacker أنفسهم يستهدفون باستخدام الهجمات عبر شبكة SS7 أيضًا ، مع استخدام أساليب الهجوم SS7 كالتالي طريقة تراجع عندما لا تنجح هجمات Simjacker. لقد رأينا حتى الآن أرقام هواتف من عدة بلدان مستهدفة بهذه الهجمات ، ونحن على يقين من أن الأفراد في بلدان أخرى قد استُهدفوا أيضًا من خلال هجمات Simjacker. باستخدام مجموعتنا من إشارة التشوير (SIGIL) ، تمكنا من ربط نشاط SS7 المرتبط بـ Simjacker بمجموعة اكتشفناها بالفعل محاولة مهاجمة أهداف عبر SS7 يعني في جميع أنحاء العالم.

في بلد واحد ، نرى ما يقرب من 100 إلى 150 من أرقام الهواتف الفردية المحددة يتم استهدافها يوميًا من خلال هجمات Simjacker ، على الرغم من أننا شهدنا رشقات نارية تصل إلى 300 رقم هاتف تحاول تتبعها في يوم واحد ، يختلف توزيع محاولات التتبع. حاول عدد قليل من أرقام الهواتف ، التي يُفترض أنها ذات قيمة عالية ، أن يتم تعقبها عدة مئات من المرات على مدار فترة 7 أيام ، ولكن كان لمعظمها مجلدات أصغر بكثير. شوهد نمط مماثل وهو ينظر إلى النشاط اليومي ، حيث تم استهداف العديد من أرقام الهواتف بشكل متكرر على مدار عدة أيام أو أسابيع أو أشهر في وقت واحد ، في حين تم استهداف آخرين بهجوم لمرة واحدة. تشير هذه الأنماط وعدد عمليات التتبع إلى أنها ليست عملية مراقبة جماعية ، ولكنها عملية مصممة لتتبع عدد كبير من الأفراد لمجموعة متنوعة من الأغراض ، مع تحول الأهداف والأولويات بمرور الوقت. يعد "الاستخدام الأول" لطريقة Simjacker منطقيًا من وجهة النظر هذه ، حيث أن القيام بهذا النوع من تتبع الحجم الكبير باستخدام طرق SS7 أو Diameter يمكن أن يعرض هذه المصادر للاكتشاف ، لذلك يكون من المنطقي الحفاظ على تلك الطرق للتصعيد أو عندما تواجه صعوبات واجهت.

منع الهجمات والتفكير على المدى الطويل

من أجل التعامل مع مشكلة عدم الحصانة هذه ، اتخذنا نحن وصناعة المحمول عددًا من الخطوات.

1. نحن نعمل مع عملاء شركة المحمول الخاصة بنا لمنع هذه الهجمات ، ونحن ممتنون لمساعدتهم في المساعدة في اكتشاف هذا النشاط.

2. أبلغنا أيضًا جمعية GSM - الهيئة التجارية التي تمثل مجتمع مشغلي شبكات الهاتف النقال - بوجود هذه الثغرة الأمنية. تمت إدارة مشكلة عدم الحصانة هذه من خلال برنامج GSMA CVD ، مما يسمح بمشاركة المعلومات عبر مجتمع المحمول.

3. كجزء من هذا ، تم أيضًا مشاركة المعلومات مع تحالف SIM ، وهو هيئة تجارية تمثل الشركات المصنعة الرئيسية لبطاقة SIM / UICC وقد قدمت توصيات أمنية جديدة لتقنية S @ T Browser.

بشكل عام ، فإن توصياتنا لمجتمع الهاتف المحمول للتعامل مع التهديد الفوري تتمثل في قيام مشغلي شبكات الهاتف النقال بتحليل وحظر الرسائل المشبوهة التي تحتوي على أوامر S @ T Browser. قد يحاول مشغلو الأجهزة المحمولة أيضًا تغيير إعدادات الأمان لـ UICCs في الحقل عن بُعد ، أو حتى إلغاء تثبيت والتوقف عن استخدام تقنية مستعرض S @ T تمامًا ، ولكن هذا قد يكون أبطأ وأكثر صعوبة بكثير. ومع ذلك ، فإن هذه ليست سوى خطوة أولى إلى حد كبير ، وذلك بسبب الآثار الكبرى لهجمات Simjacker.

إن وجود Simjacker على الإطلاق يعني أننا نحتاج إلى تغيير طريقة تفكيرنا بشكل جذري عندما يتعلق الأمر بأمان الشبكات الأساسية للهاتف المحمول. نعتقد أن هجوم Simjacker قد تطور كبديل مباشر للقدرات التي فقدتها لمهاجمين شبكة المحمول عندما بدأ المشغلون في تأمين البنية التحتية SS7 و Diameter. ولكن في حين أن هجمات SS7 الناجحة تطلبت معرفة محددة (والوصول إلى SS7) ، فإن رسالة الهجوم Simjacker تتطلب نطاقًا أوسع بكثير من الرسائل القصيرة المحددة ، بطاقة SIM ، السماعة ، مجموعة أدوات Sim ، متصفح S @ T ومعرفة SS7. من الواضح أن هذا الاستثمار قد آتى ثماره للمهاجمين ، حيث انتهى بهم الأمر إلى وسيلة للسيطرة على أي هاتف محمول في بلد معين ، وكل ذلك فقط باستخدام مودم GSM بقيمة 10 دولارات ورقم هاتف مستهدف. باختصار ، يعني ظهور Simjacker أن المهاجمين من مشغلي شبكات الهاتف المحمول قد استثمروا بكثافة في تقنيات الهجوم الجديدة ، وهذا الاستثمار والمهارات الجديدة يعني أننا يجب أن نتوقع المزيد من هذه الأنواع من الهجمات المعقدة.

نتيجة لذلك ، يعني هذا أننا في مجتمع أمان الأجهزة المحمولة نحتاج أيضًا إلى تحسين قدراتنا. بالنسبة لمشغلي شبكات الجوال ، فإن هذا يعني أيضًا أن الاعتماد على التوصيات الحالية لن يكون كافيًا لحماية أنفسهم ، لأن المهاجمين مثل هؤلاء سيتطورون دائمًا لمحاولة التهرب من ما يتم تنفيذه. بدلاً من ذلك ، سيتعين على مشغلي شبكات الهاتف المحمول التحقيق باستمرار في الأنشطة المشبوهة والخبيثة لاكتشاف الهجمات "المخفية". يمكننا ويجب أن نتوقع نقاط الضعف والهجمات الأخرى التي تهرب أيضًا من اكتشاف الدفاعات الموجودة وإساءة استخدامها. نظرًا لأن المهاجمين وسّعوا قدراتهم إلى ما هو أبعد من مجرد استغلال الشبكات غير الآمنة ، بحيث يغطيوا الآن مجموعة معقدة للغاية من البروتوكولات وبيئات التنفيذ والتقنيات لشن هجمات معهم ، سيحتاج المشغلون أيضًا إلى زيادة قدراتهم والاستثمار في اكتشاف هذه الهجمات وحظرها.

المستقبل

نحن فقط خدش سطح Simjacker في هذه المقالة. في عرضنا التقديمي في مؤتمر نشرة الفيروسات ، لندن ، في الثالث من أكتوبر 2019 ، سنقدم مزيدًا من التفاصيل حول شكل الهجمات ، وما الذي يفعله المهاجمون لمحاولة التهرب من الكشف وكيفية تشغيل نظامهم ، إلى جانب نكهة ما كان رد فعلهم منذ أن تم اكتشاف هجماتهم وحظرها. سنقدم أيضًا وجهة نظرنا حول ما نعتقد أن هذه الهجمات ستتطور إلى التالي. نتوقع أن يتم نشر رد فعل من هذه الأخبار على الجمهور وسوف نعرض ما (إن وجدت) للكشف العام عن نشاطهم الضار.

يمثل استغلال Simjacker قفزة هائلة شبيهة بشبكة Stuxnet تقريبًا ، من التعقيد من هجمات الرسائل القصيرة أو SS7 / Diameter السابقة ، وتبين لنا أن نطاق وإمكانية الهجمات على الشبكات الأساسية أكثر تعقيدًا مما كنا نتخيل في الماضي. لقد حان الوقت للتأكد من أننا سنبقى في مقدمة هذه الهجمات في المستقبل.