Open poorten fungeren als backdoor in Androidtelefoons
Poorten die door mobiele applicaties worden opengezet kunnen als backdoor in Androidtelefoons fungeren. Dat heeft een groep onderzoekers van de universiteit van Michigan ontdekt. De onderzoekers hebben honderden Android apps ontdekt die poorten op smartphones open laten. Volgens hen is er sprake van een wijdverbreid beveiligingsprobleem waardoor aanvallers contactgegevens, inloggegevens, foto's en andere gevoelige data kunnen stelen, alsmede malware kunnen installeren.
Om de Android-apps te onderzoeken, gebruikten de onderzoekers de tool OPAnalyzer (for Open Port Analyzer). Ze analyseerden meer dan 100.000 Android-apps op het op onveilige wijze gebruiken van open poorten en vonden 1632 applicaties die poorten op smartphones openlaten, vaak bedoeld om een verbinding tussen de pc en smartphone op te zetten en zo berichten of bestanden over te zetten. Maar ook kan het gaan om apps die de telefoon als proxy gebruiken bij het maken van een internetverbinding.
Van de 1632 apps zijn er 410 die helemaal geen of een hele zwakke beveiliging hebben, zoals een hard coded wachtwoord. Van deze 410 lieten er 57 poorten volledig open staan waardoor kwaadwillend die met hetzelfde wifi-netwerk verbonden zijn onbeperkte toegang tot de smartphone van de gebruiker kunnen krijgen. Dit geldt overigens ook voor andere apps op de smartphone en nog erger, een script dat in de browser van het slachtoffer draait wanneer deze een nietsvermoedend een website bezoekt.
Volgens de onderzoekers zijn de twee gevaarlijkste apps Wifi File Transfer en AirDroid. De laatste is al tussen de 10 en 50 miljoen keer gedownload. De ontwikkelaars van AirDroid zeggen het probleem te hebben verholpen nadat ze werden gewezen op de bevindingen van de onderzoekers. De makers van Wifi File Transfer hebben nog geen stappen ondernomen.
Naast een rapport (pdf) waarin de onderzoekers hun bevindingen bespreken is er ook een speciale website met demonstraties van het probleem gemaakt.
Ze mogen dus gewoon je hele telefoon en alles wat erin staat gebruiken. En dat gaat mij dan weer veel te ver. Ik heb dat Whatts App er direct weer afgemieterd!
Tip: Download een Kali distributie en zet deze op een USB stick of computer/VM.
Installeer OpenVAS en laat die scanner over je interne netwerk draaien of alleen op het IP adres van je telefoon.
Wat dat betreft doet iOS van Apple dat wel uitmuntend.
Ze mogen dus gewoon je hele telefoon en alles wat erin staat gebruiken. En dat gaat mij dan weer veel te ver. Ik heb dat Whatts App er direct weer afgemieterd!
Maar om vast te stellen welke poorten er op de telefoon open staan hoef je niet zo ingewikkeld te doen. Sluit je telefoon aan op je Wifi netwerk en gebruik Nmap om vanaf een pc een poortscan te doen. Als je dat dan ook nog via Kali doet kun je eventuele openstaande services ook proberen te exploiteren.
Voor android bestaan er wel firewall apps, meestal heb je daar root voor nodig, maar die filteren alleen applicaties op toegang tot het internet en niet zozeer op poort niveau. Als je een app eenmaal toegang geeft weet een gebruiker niet welke poorten er allemaal worden gebruikt en welke gegevens daar precies overheen gaan. Dat zou je eigenlijk wel willen weten omdat we tegenwoordig onze telefoon geworden zijn. Waar we zijn of wat we doen wordt vastgelegd op onze telefoon, vaak ook met wie we wat doen. Zulke informatie wil je niet met iedereen delen lijkt me.
Ze mogen dus gewoon je hele telefoon en alles wat erin staat gebruiken. En dat gaat mij dan weer veel te ver. Ik heb dat Whatts App er direct weer afgemieterd!
Het meest kwalijke is nog dat indien ik in zijn contacten sta dat ik, die helemaal niks met o.a. FB/WA te maken wil hebben, ook bekend ben. Niet alleen mijn telefoonnummer(s) maar eventueel ook incl. mijn email adres en andere opgeslagen data in de contactenlijst zoals b.v adresgegevens van thuis, zakelijk etc.
En ik kan er niks aan doen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
