Expert: dreiging mobiele malware is overdreven
Bedrijven hoeven zich niet al teveel zorgen over mobiele malware en dreigingen te maken, zo stelt de bekende Mac-hacker en beveiligingsonderzoeker Charlie Miller. Miller wist de afgelopen jaren faam te verwerven door meerdere keren iOS en Mac OS X te hacken.
Onlangs kwam hij in het nieuws met het hacken van een auto. Vorige week gaf hij tijdens de Hacker Halted conferentie een lezing over de hype en werkelijkheid van mobiele dreigingen. Ondanks allerlei onderzoeken en hacks die het nieuws halen, zoals de hack die Miller recent demonstreerde om via Near Field Communication (NFC) een Android-toestel over te nemen, komen dit soort aanvallen in het echt volgens de onderzoeker niet voor.
"Exploits zijn veel lastiger op mobiele apparaten dan op desktops, veel lastiger", zo laar hij tegenover InformationWeek weten. "Er zijn veel meer verdedigingen en veel meer manieren om gepakt te worden en het is veel moeilijker om mensen in de eerste plaats naar je exploit te krijgen."
Risico
Bedrijven moeten zich volgens Miller dan ook niet al teveel zorgen over mobiele dreigingen maken. "Vergeet het niet helemaal, maar verdeel je middelen over het echte risico ervan in de echte wereld, wat niet heel veel is." Volgens de onderzoeker is het wel verstandig om mobiele apparaten te beheren en beschermen en beveiligingsbeleid te handhaven. Toch moeten de potentiële dreigingen wel in perspectief gezien worden.
Zo heeft mobiele malware tot nu toe relatief weinig schade aangericht. "Als je naar de actuele aanvallen kijkt, is er geen enkele waar mobile de primaire aanvalsvector was", aldus Miller. Zelfs als een aanvaller over mobiele malware beschikt, is het relatief lastig om het slachtoffer ermee te infecteren.
"Voor mensen zoals ik die willen opvallen is het zinvoller om dit met nieuwe technologie te doen. Maar als je een crimineel bent, is het veel eenvoudiger om desktops aan te vallen, en krijg je hetzelfde resultaat."
Nadeel vanuit het oogpunt van de crimineel die snel geld wil verdienen is wel dat je met een laptop geen dure SMSjes kan versturen en dat soort zaken. Dat maakt het mobieltje nou juist een interessant doelwit.
Erg slecht advies, als het NSA verhaal iets leert is het juist dat zulke zaken serieuzer genomen moeten worden.
TheYOSH
Dat klopt op dit moment, aangezien er erg veel pc's zijn. Maar wanneer de voorspellingen bewaarheid worden, dat tablets straks het meest gebruikt worden en betalingen via smartphones en tablets gaan lopen, kan het plan m.i. veranderen. Criminelen steken tijd en geld in acties die veel meer opleveren dan ze kosten. En door het gebruik van tussenpersonen (b.v. "moneymules") proberen de echte daders zich af te schermen.
Erg slecht advies, als het NSA verhaal iets leert is het juist dat zulke zaken serieuzer genomen moeten worden.
Een club als NSA heeft in feite een onbeperkte bron van inkomsten. Het maakt hen niet uit of ze nu 100 miljoen of 1 miljard uit moeten geven om bijvoorbeeld een aanslag op een marathon te voorkomen.
Een crimineel zal altijd kijken naar de meest efficiente manier om geld binnen te harken. Ondanks de dure SMS berichten is dat nog steeds middels de normale PC. Geld binnenhalen met malware op een PC is via wat katvangers eenvoudig voor iedere crimineel te doen.
Een SMS dienst opzetten om daar naar te laten bellen, is veel lastiger. Het is ook veel lastiger om dat geld ook echt te vangen. Degene die de SMS verstuurt, betaalt namelijk niet aan de crimineel of zijn katvanger maar aan de eigen telco. Als die het niet vertrouwt, krijg je als crimineel je geld niet. Het is veel lastiger om daarvoor katvangers in te zetten, dus de kans dat ze je achterhalen is ook groter.
Net als de crimineel geen onuitputtelijke inkomstenbron heeft, hebben de meeste gebruikers ook geen onbeperkt budget voor het realiseren van beveiligingsmaatregelen. Je moet kijken wat het meest efficient is en je daar op richten.
Peter
Voor degenen die denken dat banken nog steeds alle schade vergoeden heb ik een wake-up call, dat doen ze niet meer automatisch. Lees hun voorwaarden er maar eens op na en wordt wakker.
Dat kan wel zo zijn, maar het is niet zo lastig in sommige landen. Er is een grote draai geweest bijvoorbeeld in Rusland waar de laatste paar jaar veel geld wordt binnengehaald met communicatie"diensten" en abonnementen die duidelijk niet zuiver op de graat zijn. Zoals dat in Nederland ook jarenlang gebeurde.
De App Store van Apple heeft ook vaak zat malware gehad. Dat is dus ook het hele punt, dat hele gedoe over "Android is gevaarlijk" is de grootste onzin. Je raakt echt niet zomaar geinfecteerd of gehacked. Alleen als je handmatig shit gaat installeren gaat het snel mis, maar dat probleem heb je ook op rooted iPhones e.d.
Niet zulke onzin verkondigen dus, en denk ff na voordat je een expert een sukkel noemt. Als je het ooit zo ver kan schoppen als deze meneer, wat me erg stug lijkt als je zulke ondoordachte onzin post, dan praten we nog eens verder.
Lol, die ''sukkel'' was een van de beste vulnerability researchers bij de NSA. Doorgaans beschikt Charlie over tientallen zero day exploits voor tal van operating systems en applicaties. Grappig hoe mensen hier absolute experts als sukkel bestempelen.
"Ik heb rekeningen van bedrijven voorbij zien komen met schade posten tot wel 10 duizend euro. Als je dat 'weinig tot niets' durft te noemen spoor je niet helemaal."
In vergelijking tot andere aanvallen waarbij schade oploopt in de tonnen tot miljoenen is dat inderdaad relatief laag. Verder geeft hij niet voor niets aan dat je devices wel moet beveiligen, en hij ontkent ook niet het bestaan van dreigingen. Ik heb rekeningen bij bedrijven door banking trojans en dergelijke tot veel hogere bedragen zien oplopen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
