Surveillancebedrijf zou telefoons via speciale sms'jes lokaliseren
Een surveillancebedrijf dat voor verschillende overheden werkt zou al twee jaar lang duizenden mensen hebben bespioneerd door speciaal geprepareerde sms-berichten naar hun mobiele telefoon te sturen, zo claimt securitybedrijf AdaptiveMobile dat de gebruikte techniek "SimJacker" noemt.
Om de aanval uit te voeren wordt er een sms naar de mobiele telefoon van het doelwit gestuurd. Dit sms-bericht bevat SIM Application Toolkit (STK)-instructies voor de simkaart van het toestel. De STK is een standaard en bestaat uit een verzameling van commando's die bepalen hoe de simkaart op de buitenwereld moet reageren. Het wordt voor allerlei diensten gebruikt, zoals mobiel bankieren en browsing. Wanneer de STK wordt gebruikt voert de simkaart commando's onafhankelijk van het toestel en het netwerk uit.
De instructies in het sms-bericht van de aanvaller maken misbruik van de S@T Browser die op simkaarten aanwezig kan zijn. Via deze software wordt de locatie en het IMEI-nummer van het toestel opgevraagd. Vervolgens wordt deze informatie via sms naar de aanvaller gestuurd. Gebruikers krijgen het sms'je van de aanvaller niet te zien. De code in het bericht wordt automatisch uitgevoerd.
De aanval is alleen mogelijk wanneer de geprepareerde sms-berichten worden toegestaan en de S@T Browser op de simkaart van de telefoon aanwezig is. Volgens AdaptiveMobile is de S@T Browser niet erg bekend en ook vrij oud. Het oorspronkelijke doel was om verschillende diensten mogelijk te maken, zoals het opvragen van saldogegevens. Het S@T-protocol zou nog door telecomproviders in minstens dertig landen worden gebruikt.
AdaptiveMobile stelt dat het meerdere aanvallen heeft gezien waarbij de techniek is ingezet. De aanval zou zijn ontwikkeld door een specifiek bedrijf dat in opdracht van overheden personen monitort. De naam van dit bedrijf wordt echter niet genoemd. Informatie over de aanval is inmiddels gedeeld met de SIMalliance, een organisatie van industriespelers ie zich met richtlijnen en specificaties voor mobiele diensten bezighoudt. De SIMalliance is nu met aanbevelingen voor providers gekomen om illegale binaire sms-berichten te blokkeren (pdf).
israel dus..
israel dus..
Werd tijd dat de veiligheid van SIM-kaarten eens onder de aandacht komt
https://www.volkskrant.nl/nieuws-achtergrond/politie-gebruikt-stealth-sms-heimelijk-als-opsporingstruc~b037208d/
Al in 2013 is er op DEFCON gesproken over het eigen leven dat SIM-kaarten hebben en hoe ze gemanipuleerd kunnen worden zonder interactie van de gebruiker of het toestel waar ze in zitten.
https://www.youtube.com/watch?v=31D94QOo2gY
Ik heb mijn provider ( vodafone ) dan ook een e-mail met de link gestuurd.
Benieuwd welke reactie ze geven.
Ik heb mijn provider ( vodafone ) dan ook een e-mail met de link gestuurd.
Benieuwd welke reactie ze geven.
Zo'n reactie, of althans de strekking daar van, kan ik je hier zo ook wel geven.
Dit bericht is niet meer dan storm in een glas water, en de staat Israel heeft in dit geval hier weinig mee van doen. Ook wijzelf en onze oosterburen ontwikkelden deze techniek. Wat die Ieren in Dublin doen is niet bijster bijzonder.
Dit is gewoon de staande praktijk, omdat in de EU de telcoms zich aan de wet te hebben houden. Wat AdaptiveMobile slechts biedt, is software voor telcoms om de aan hen opgelegde taak in het kader van opsporing eenvoudiger te maken.
Telcoms moeten de IMSI gegevens van een mobieltje, en de vermoedelijke locatie daarvan, opgeven als justitie hen daar om verzoekt. Deze mogelijkheden zijn van meet af aan ingebouwd in de SIM-kaart technologie en in het SMS protocol.
https://en.wikipedia.org/wiki/SMS#Silent_SMS
Ik heb mijn provider ( vodafone ) dan ook een e-mail met de link gestuurd.
Benieuwd welke reactie ze geven.
israel dus..
En in de bus kreeg de hacker een spuitje. Gek genoeg was de bus vol en waren er geen getuigen.
Via SS7 tracing kun je ook GSMs uitpeilen, is dit al stopgezet in Nederland? Bij Peter R de Vries deed een detective een lokatiebepaling, het is illegaal en hij wij niet in beeld. Illegale praktijken toepassen is blijkbaar geen probleem voor het maken van een show.
Via het buitenland kun je SS7 services inkopen.
The technology of Short Message Service (SMS) is based on the standardized communications protocols, which allow mobile phone devices to exchange text messages. It started functioning as far as early 1980s, and was hardly ever improved upon. SMS is based on the Signaling System No. 7 (SS7) protocol, which is really old-fashioned and very vulnerable. Some of these vulnerabilities were publicized in 2008, and again in 2014. Actually, the information revealed stated that cell phone movements can be tracked by governments and third parties with a 70% success rate.
Around 90% of all mobile operators all over the world are unprotected because of the “holes” in the SS7 protocol. To be more precise, 89% of subscribers’ SMS can be intercepted; 58% of subscribers can be tracked, and half of all phone calls can be wiretapped. These facts are taken from the research conducted by the company Positive Technologies that investigated the security systems of the biggest world mobile operators.
We hebben er denk ik ook niets aan.
Ik heb liever iets in technische zijn zoals die gisteren om 18:10
Eindgebruikers bescherming wordt overgelaten aam monitorende Telco's, terwijl bijvoorbeeld het VK dit wettelijk liever wi? voort laten duren. Bah.
#sockpuppet
israel dus..
Aanleiding hiervoor? 0%
Zit Nederland cybersint te slapen of regelt grootcommercied al wie lwetsbaar is of niet?
israel dus..
Niet specifiek,het kunnen ook andere landen zijn.
Geef jij trouwens de president van israel een hand,als hij nederland bezoekt,
of zou jij net zo reageren als mr kuzu?
Jaap
Zit Nederland cybersint te slapen of regelt grootcommercied al wie lwetsbaar is of niet?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
