Wir studieren MITRE ATT & CK. Mobile Matrizen: Gerätezugriff. Teil 1

Erstzugriff auf ein mobiles Gerät (Erstzugriff)

Links zu allen Teilen:
Teil 1. Erstzugriff auf ein mobiles Gerät (Erstzugriff)
Teil 2. Beharrlichkeit und Eskalation
Teil 3. Zugriff auf Anmeldeinformationen erhalten (Zugriff auf Anmeldeinformationen)
Teil 4. Verteidigungshinterziehung
Teil 5. Entdeckung und seitliche Bewegung

Ich beginne mit der nächsten Reihe von Veröffentlichungen ( siehe vorherige ), die sich mit dem Studium von Taktiken und Techniken zur Implementierung von Hackerangriffen befassen und in der MITRE ATT & CK- Wissensdatenbank enthalten sind . In diesem Abschnitt werden die Techniken beschrieben, die Cyberkriminelle in jeder Phase der Angriffskette auf Mobilgeräten verwenden.

Under the Cut - die Hauptvektoren für die Kompromittierung mobiler Geräte, die darauf abzielen, dem Angreifer eine "Präsenz" im angegriffenen System zu verschaffen.

Der Autor ist nicht verantwortlich für die möglichen Konsequenzen der Anwendung der im Artikel aufgeführten Informationen und entschuldigt sich auch für mögliche Ungenauigkeiten in einigen Formulierungen und Begriffen. Bei den veröffentlichten Informationen handelt es sich um eine kostenlose Nacherzählung des Inhalts von ATT @ CK Mobile Matrices: Device Access .

Bereitstellung einer schädlichen Anwendung über einen autorisierten App Store (Bereitstellung einer bösartigen App über einen autorisierten App Store)

Plattform: Android, iOS
Beschreibung: Schädliche Anwendungen sind die häufigste Möglichkeit für einen Angreifer, auf Mobilgeräten „präsent“ zu sein. Mobile Betriebssysteme sind häufig so konfiguriert, dass Anwendungen nur in autorisierten Stores (Google Play Store oder Apple App Store) installiert werden. Daher kann der Gegner versuchen, seine schädliche Anwendung in einem autorisierten Application Store abzulegen.

Anwendungsspeicher erfordern normalerweise eine Entwicklerregistrierung und verfügen über Tools zum Erkennen bösartiger Anwendungen. Gegner können jedoch einige Möglichkeiten verwenden, um den Speicherschutz zu umgehen:

• Laden Sie schädlichen Code während der Anwendungsausführung herunter, nachdem Sie ihn aus dem Anwendungsspeicher installiert haben.
• Verschleierung von Dateien und Informationen;
• Verwendung kompromittierter Anmeldeinformationen und digitaler Signaturen von echten Entwicklern mobiler Anwendungen;
• Testen der Möglichkeit, Systeme zur automatisierten Analyse der Sicherheit mobiler Anwendungen im Anwendungsspeicher zu umgehen

Ein Gegner kann absichtlich schädlichen Code in eine Anwendung einfügen, um festzustellen, ob er in der Sicherheitsanalyseumgebung des Zielspeichers funktioniert, und gegebenenfalls den Start von schädlichem Inhalt während der Analyse deaktivieren. Angreifer können auch gefälschte Identitäten, Zahlungskarten usw. verwenden. beim Erstellen von Entwicklerkonten für die weitere Veröffentlichung bösartiger Anwendungen in Geschäften.

Darüber hinaus können Gegner auch gefährdete Google-Benutzerkonten verwenden, um die Remote-Installation von Anwendungen auf Android-Geräten zu nutzen, die einem kontrollierten Google-Konto zugeordnet sind (mit dieser Technik können Sie nur Anwendungen aus dem Google Play Store remote installieren).

Schutzempfehlungen: In einer Unternehmensumgebung wird empfohlen, Anwendungsprüfungen auf Schwachstellen und unerwünschte Aktionen (böswillig oder Verletzung der Vertraulichkeit) durchzuführen, Richtlinien für Anwendungsbeschränkungen zu implementieren oder BYOD-Richtlinien (Bring Your Own Device) (Bring Your Own Device) mitzubringen, die Einschränkungen auferlegen nur für den unternehmensgesteuerten Teil des Geräts. Schulungen, Schulungen und Benutzerhandbücher unterstützen eine bestimmte Konfiguration von Unternehmensgeräten und verhindern manchmal sogar bestimmte riskante Benutzeraktionen.

EMM / MDM-Systeme oder andere Lösungen zum Schutz mobiler Geräte können unerwünschte oder schädliche Anwendungen auf Unternehmensgeräten automatisch erkennen. Softwareentwickler haben normalerweise die Möglichkeit, Anwendungsspeicher nach nicht autorisierten Anwendungen zu durchsuchen, die mit ihrer Entwickler-ID gesendet wurden.

Bereitstellen einer bösartigen Anwendung auf andere Weise (Bereitstellen einer bösartigen Anwendung über andere Mittel)

Plattform: Android, iOS
Beschreibung: Trotz des möglichen Verbots, Anwendungen aus Quellen von Drittanbietern auf dem Zielgerät zu installieren, kann ein Gegner absichtlich vermeiden, eine böswillige Anwendung in autorisierten Anwendungsspeichern zu platzieren, um das Risiko einer möglichen Erkennung zu verringern.

Alternative Methoden zur Bereitstellung von Anwendungen:

• Spearphishing-Anhang - Anwendung als Anhang zu einer E-Mail-Nachricht;
• Phishing-Link - ein Link zu einem mobilen Anwendungspaket in einer E-Mail oder Textnachricht (SMS, iMessage, Hangouts, WhatsApp usw.), einer Website, einem QR-Code b usw.;
• Anwendungsspeicher eines Drittanbieters - Die Anwendung wird im Anwendungsspeicher veröffentlicht, in dem keine Sicherheitskontrolle ähnlich einem autorisierten Speicher vorhanden ist.

Im Fall von iOS kann ein Gegner auch versuchen, ein Schlüsselpaar und ein Enterprise-Verteilungsschlüsselzertifikat zu erhalten, um die schädliche Anwendung zu verbreiten, ohne sie im AppStore zu veröffentlichen.

Schutzempfehlungen: Wenn Sie unter iOS die Parameter allowEnterpriseAppTrust und allowEnterpriseAppTrustModification aktivieren, können Benutzer keine vom Enterprise-Verteilungsschlüssel signierten Anwendungen installieren.

Für iOS Version 9 und höher ist die ausdrückliche Zustimmung des Benutzers erforderlich, um die signierte Enterprise-Verteilungsschlüsselanwendung nicht aus dem AppStore zu installieren. Daher sollten Benutzer geschult werden, der Installation der Anwendung nicht zuzustimmen, wenn sie sich über die Quelle der Anwendungsverteilung nicht sicher sind.

Unter Android muss zum Installieren von Anwendungen aus Quellen von Drittanbietern der Parameter "Unbekannte Quellen" aktiviert sein. Daher sollten Benutzer in der Aktivierung und Steuerung dieses Parameters geschult sein.

EMM / MDM oder andere Lösungen zum Schutz mobiler Geräte können das Vorhandensein von Anwendungen identifizieren, die aus Quellen von Drittanbietern installiert wurden, Android-Geräte identifizieren, die Anwendungen aus Quellen von Drittanbietern installieren dürfen, und das Vorhandensein von Android- oder iOS-Anwendungspaketen in E-Mail-Nachrichten ermitteln.

Schatten-Download von schädlichen Inhalten (Drive-by-Kompromiss)

Plattform: Android, iOS
Beschreibung: Ein Gegner kann durch einen versteckten Code-Download, der ausgeführt wird, wenn ein Benutzer eine von einem Angreifer kontrollierte Website besucht, auf ein mobiles System zugreifen. Die Implementierung dieser Technik erfordert eine entsprechende Sicherheitsanfälligkeit im Webbrowser des Benutzers. Beispielsweise kann eine Website schädliche Medieninhalte enthalten, mit denen die Stagefright-Sicherheitsanfälligkeit in Android ausgenutzt werden soll.

Schutzempfehlungen: Kaufen Sie Geräte von Lieferanten oder Mobilfunkbetreibern, die die sofortige Bereitstellung von Sicherheitsupdates gewährleisten. Sie sollten die Verwendung anfälliger Geräte einstellen, die aufgrund des Ablaufs des Supportzeitraums keine Sicherheitsupdates erhalten.

In einer Unternehmensumgebung wird empfohlen, den Zugriff auf Unternehmensressourcen von Mobilgeräten, auf denen die neuesten Sicherheitsupdates nicht installiert sind, einzuschränken und zu blockieren. Der Zugriff von Android-Geräten kann mithilfe von Patches gesteuert werden. Der Zugriff von iOS-Geräten kann basierend auf der Betriebssystemversion gesteuert werden.

Es wird empfohlen, nur die neuesten Versionen mobiler Betriebssysteme zu verwenden, die in der Regel nicht nur Patches enthalten, sondern auch eine verbesserte Sicherheitsarchitektur aufweisen, die Widerstand gegen zuvor nicht erkannte Sicherheitslücken bietet.

Exploit über Ladestation oder PC

Plattform: Android, iOS
Beschreibung: Ein mobiles Gerät kann (normalerweise über USB) an eine gefährdete Ladestation oder einen PC angeschlossen werden, mit dem ein Gegner versuchen kann, Zugriff auf das Gerät zu erhalten.

Berühmte Demonstrationen erfolgreicher Angriffe:

• Die Einführung bösartiger Anwendungen auf iOS-Geräten ( Quelle );
• Ausnutzen von Nexus 6- oder 6P-Schwachstellen über USB, einschließlich Abfangen von Telefonanrufen, Netzwerkverkehr und Empfangen von Daten über den physischen Standort des Geräts;
• Ausnutzen von Android-Schwachstellen über USB am Beispiel von Google Pixel 2.

Von Cellebrite- und Grayshift-Produkten wird erwartet, dass sie den physischen Zugriff auf Datenports verwenden, um Kennwörter auf einigen iOS-Geräten zu entsperren.

Schutzempfehlungen: Sicherheitsrichtlinien des Unternehmens sollten die Aufnahme von USB-Debugging auf Android-Geräten verhindern (wenn dies nicht erforderlich ist, z. B. wenn das Gerät für die Anwendungsentwicklung verwendet wird). Auf Geräten, die die Möglichkeit bieten, den Bootloader zu entsperren und die Firmware zu ändern, sind regelmäßige Überprüfungen erforderlich, um den Bootloader tatsächlich zu sperren.

Es wird nicht empfohlen, öffentliche Ladestationen oder Computer zum Laden Ihrer Geräte zu verwenden. Stellen Sie Benutzern Ladegeräte zur Verfügung, die von einem vertrauenswürdigen Anbieter gekauft wurden. Benutzern wird nicht empfohlen, vertrauenswürdige Geräte hinzuzufügen, sofern dies nicht erforderlich ist.

Exploit über Funkschnittstellen

Beschreibung: Sicherheitslücken können über die Mobilfunkschnittstelle oder andere Funkschnittstellen ausgenutzt werden.

Basisband-Exploits

Eine Nachricht, die über eine Funkschnittstelle an ein mobiles Gerät gesendet wird (normalerweise eine Mobilfunkschnittstelle, aber auch Bluetooth, GPS, NFC, Wi-Fi usw.), kann Schwachstellen im Code ausnutzen , der die empfangene Nachricht verarbeitet (z. B. eine Schwachstelle in Samsung S6) .

Schädliche SMS

Eine SMS kann Inhalte enthalten, die Schwachstellen im SMS-Analysegerät auf dem empfangenden Gerät ausnutzen sollen. SMS kann auch einen Link zu einer Website enthalten, die schädlichen Inhalt enthält. Anfällige SIM-Karten können mithilfe von SMS-Nachrichten aus der Ferne ausgenutzt und neu programmiert werden.

Schutzempfehlungen: Kaufen Sie Geräte von Lieferanten oder Mobilfunkbetreibern, die die sofortige Bereitstellung von Sicherheitsupdates gewährleisten. Sie sollten die Verwendung anfälliger Geräte einstellen, die aufgrund des Ablaufs des Supportzeitraums keine Sicherheitsupdates erhalten.

In einer Unternehmensumgebung wird empfohlen, den Zugriff auf Unternehmensressourcen von Mobilgeräten, auf denen die neuesten Sicherheitsupdates nicht installiert sind, einzuschränken und zu blockieren. Der Zugriff von Android-Geräten kann mithilfe von Patches gesteuert werden. Der Zugriff von iOS-Geräten kann basierend auf der Betriebssystemversion gesteuert werden.

Es wird empfohlen, nur die neuesten Versionen mobiler Betriebssysteme zu verwenden, die in der Regel nicht nur Patches enthalten, sondern auch eine verbesserte Sicherheitsarchitektur aufweisen, die Widerstand gegen zuvor nicht erkannte Sicherheitslücken bietet.

Installieren Sie die unsichere oder schädliche Konfiguration

Plattform: Android, iOS
Beschreibung: Ein Gegner kann versuchen, eine unsichere oder böswillige Konfiguration auf einem mobilen Gerät zu installieren, indem er eine Phishing-Nachricht oder eine Textnachricht verwendet, die eine Konfigurationsdatei als Anhang oder einen Weblink zu Konfigurationsparametern enthält. Beim Festlegen von Konfigurationsparametern kann der Benutzer mithilfe von Social-Engineering-Methoden ausgetrickst werden. Beispielsweise kann ein unerwünschtes Zertifikat einer Zertifizierungsstelle (CA) im vertrauenswürdigen Zertifikatspeicher des Geräts abgelegt werden, wodurch die Anfälligkeit des Geräts für Man-in-the-Middle-Angriffe erhöht wird.

Unter iOS können böswillige Konfigurationsprofile unerwünschte CA-Zertifikate (Certificate Authority) oder andere unsichere Einstellungen enthalten, z. B. die Adresse eines unerwünschten Proxys oder VPN-Servers, um den Geräteverkehr über ein Angreifersystem weiterzuleiten. Das Gerät kann auch in einem feindlichen Managementsystem für mobile Geräte (MDM) registriert werden.

Schutzempfehlungen: In iOS 10.3 und höher wurde ein zusätzlicher Schritt hinzugefügt, der Benutzeraktionen erfordert, um neue vertrauenswürdige CA-Zertifikate zu installieren. Unter Android vertrauen Anwendungen, die mit Android 7 und höher (API-Stufe 24) kompatibel sind, standardmäßig nur den CA-Zertifikaten, die mit dem Betriebssystem geliefert und nicht vom Benutzer oder Administrator hinzugefügt werden. Dies verringert im Allgemeinen die Anfälligkeit des Betriebssystems für Angriffe durch mittlere Personen.

In der Regel werden unsichere oder böswillige Konfigurationseinstellungen nicht ohne Zustimmung des Benutzers festgelegt. Benutzer sollten sich daher bewusst sein, dass sie keine unerwarteten Konfigurationseinstellungen festlegen sollten (CA-Zertifikate, iOS-Konfigurationsprofile, Herstellen einer Verbindung zu MDM).

Unter Android kann ein Benutzer vertrauenswürdige CA-Zertifikate über Geräteeinstellungen anzeigen, um verdächtige Zertifikate zu identifizieren. Unternehmenssicherheitssysteme für mobile Geräte können den Zertifikatspeicher auf ähnliche Weise automatisch auf Anomalien überprüfen.

Unter iOS kann ein Benutzer installierte Konfigurationsprofile über Geräteeinstellungen anzeigen und verdächtige Profile identifizieren. Ebenso können MDM-Systeme die iOS-MDM-API verwenden, um Listen installierter Profile auf Anomalien zu überprüfen.

Bildschirmumgehung sperren

Plattform: Android, iOS
Beschreibung: Wenn ein Gegner physischen Zugriff auf ein mobiles Gerät hat, versucht er möglicherweise, den Sperrbildschirm des Geräts zu umgehen.

Biometrisches Spoofing

Ein Gegner kann versuchen, den biometrischen Authentifizierungsmechanismus auszutricksen. iOS mildert diesen Angriff teilweise ab, indem nach jedem Neustart und 48 Stunden nach der letzten Entsperrung ein Gerätekennwort und kein Fingerabdruck erforderlich ist. Android hat ähnliche Schutzmechanismen.

Erraten Sie den Freischaltcode oder eine einfache Suche

Ein Gegner kann versuchen, den Zugangscode zu erraten oder auf andere Weise zu erraten, einschließlich physischer Beobachtung (Sohulder-Surfen), während der Benutzer das Gerät verwendet.

Andere Sperrbildschirm-Exploits

Android 5 und iOS 6 sowie andere mobile Geräte zeigen regelmäßig, wie Schwachstellen ausgenutzt werden können, um den Sperrbildschirm zu umgehen. Sicherheitslücken werden normalerweise vom Geräte- oder Betriebssystementwickler behoben, sobald sie Kenntnis von ihrer Existenz erhalten.

Schutzempfehlungen: Unternehmenssicherheitsrichtlinien für mobile Geräte sollten Anforderungen an die Kennwortkomplexität auf dem Gerät festlegen. Die Unternehmensrichtlinie kann die automatische Zerstörung aller Daten auf dem Gerät beinhalten, wenn wiederholt das falsche Passwort eingegeben wird. Beide Richtlinien sollen Brute-Force-Angriffe, das Erraten oder "Ausspähen" eines Zugangscodes verhindern.

Falls erforderlich, kann die Unternehmensrichtlinie auch die biometrische Authentifizierung verbieten. Die biometrische Authentifizierung ist jedoch bequemer als die Verwendung eines langen, komplexen Zugangscodes, da Sie ihn nicht jedes Mal eingeben müssen.
Es wird empfohlen, Sicherheitsupdates zu installieren und die neuesten Versionen des mobilen Betriebssystems zu verwenden.

Neu verpackte Anwendung

Plattform: Android, iOS
Beschreibung: Ein Gegner kann eine Anwendung herunterladen, zerlegen, schädlichen Code hinzufügen und dann wieder zusammensetzen ( Beispiel ). Die neu erstellte Anwendung sieht aus wie das Original, enthält jedoch zusätzliche schädliche Funktionen. Dann kann eine solche Anwendung in Anwendungsspeichern veröffentlicht oder unter Verwendung anderer Techniken an das Gerät geliefert werden.

Schutzempfehlungen: Installieren Sie Anwendungen nur in autorisierten Geschäften, in denen mit geringerer Wahrscheinlichkeit böswillige neu gepackte Anwendungen enthalten sind.

EMM / MDM-Systeme und andere Sicherheitsfunktionen für mobile Anwendungen auf Unternehmensebene können unerwünschte, unbekannte, unsichere oder böswillige Anwendungen auf Geräten automatisch erkennen.

Kompromiss in der Lieferkette

Plattform: Android, iOS
Beschreibung: Ein Supply-Chain-Kompromiss ist eine Modifikation eines Softwareprodukts und von Produktlieferungsmechanismen, bevor diese von einem Verbraucher empfangen werden, um Daten oder ein System zu gefährden. Gegner können unbeabsichtigte Sicherheitslücken ausnutzen. In vielen Fällen ist es daher schwierig festzustellen, ob die anfällige Funktionalität auf einen böswilligen oder unbeabsichtigten Fehler zurückzuführen ist.

Identifizierung von Schwachstellen in Softwarebibliotheken von Drittanbietern

In mobilen Anwendungen enthaltene Bibliotheken von Drittanbietern können schädlichen Code enthalten, der die Privatsphäre verletzt oder Sicherheitslücken schafft. Es sind Beispiele für Sicherheitslücken und Sicherheitsprobleme in mobilen Werbebibliotheken bekannt.

Verteilung bösartiger Softwareentwicklungstools

Wie der XcodeGhost- Angriff gezeigt hat , können Anwendungsentwickler modifizierte Versionen von Softwareentwicklungstools (z. B. Compiler) verwenden, die automatisch schädlichen Code oder Schwachstellen in die Anwendung einfügen.

Schutzempfehlungen: Unsichere Bibliotheken von Drittanbietern können durch verschiedene Methoden zur Anwendungsüberprüfung erkannt werden. Das Programm zur Verbesserung der Google-Anwendungssicherheit erkennt beispielsweise die Verwendung von Bibliotheken von Drittanbietern mit bekannten Sicherheitslücken in den im Google Play Store verfügbaren Android-Anwendungen. Malware-Entwicklungstools und modifizierte Softwareentwickler-Tools können mithilfe von Systemen zur Überwachung der Dateiintegrität auf den Computern der Entwickler erkannt werden.