Falha em chips SIM – Uma vulnerabilidade presente em cartões SIM e modems de conexão celular pode permitir que invasores assumam remotamente o controle de determinados dispositivos. A falha explora uma função que possibilita ao chip enviar comandos diretamente ao modem do aparelho, sem passar pelo sistema operacional principal.

O problema foi identificado principalmente em equipamentos de Internet das Coisas (IoT), como carregadores de veículos elétricos, roteadores industriais e sistemas automotivos, além de alguns modelos específicos de smartphones.

LEIA: Extensão removida por espionar usuários volta ao Chrome com novo golpe

Pesquisadores da Universidade de Birmingham, no Reino Unido, e da empresa de segurança Fuzzware analisaram 26 dispositivos e descobriram que nove deles aceitaram comandos maliciosos enviados por um chip adulterado. Entre os equipamentos avaliados, seis dos oito módulos celulares voltados para IoT e três dos 18 smartphones testados apresentaram comportamento vulnerável.

Os celulares afetados foram o Find X5 e o Reno 14 F 5G, ambos da Oppo, e o Zenfone 9, da Asus. Nenhum dos modelos da Apple ou da Google avaliados apresentou a vulnerabilidade.

Recurso antigo abre caminho para invasões

A brecha está relacionada ao recurso chamado “RUN AT”, derivado da linguagem de controle AT, criada para modems em 1981, segundo a pesquisa apresentada na conferência “USENIX WOOT”, realizada neste mês em Maryland, nos Estados Unidos.

A tecnologia permite que o cartão SIM envie comandos diretamente ao modem do dispositivo. Na prática, isso cria uma interface de comunicação com o hardware que não depende do sistema operacional principal.

Professor assistente de Ciência da Computação na Universidade de Birmingham, Marius Muench explicou, em comunicado, que essa capacidade faz parte das próprias regras do sistema. Segundo ele, a possibilidade de atuação direta do SIM e a superfície de ataque criada por ela são “explicitamente definidas nas especificações técnicas para comunicação celular”.

O pesquisador também destacou que a natureza do problema influencia a maneira como ele pode ser solucionado. “Os erros individuais são falhas comuns e podem ser corrigidos; a interface que os expõe é uma capacidade documentada, e desligá-la é uma decisão que cada fabricante toma para seus próprios produtos”, afirmou Muench, em entrevista ao The Hacker News.

A arquitetura dos dispositivos IoT amplia a preocupação porque muitos desses módulos possuem um pequeno computador interno responsável pelo gerenciamento das funções de rede. De acordo com os pesquisadores, essa combinação pode facilitar ataques e transformar o equipamento em “uma rica superfície de ataque para chips hostis”.

Ataque exige acesso físico ao chip

Para explorar a vulnerabilidade, o criminoso precisa ter acesso físico ao dispositivo. O ataque pode ocorrer por meio da substituição do cartão SIM, da instalação de uma pequena película adaptadora no leitor ou da adulteração do componente ainda durante a produção e distribuição.

Por esse motivo, equipamentos conectados instalados em locais públicos ou expostos à rua, sem supervisão constante, estão entre os que podem apresentar maior risco.

Durante os testes, os pesquisadores utilizaram um chip modificado para assumir o controle completo de um carregador comercial de veículos elétricos da Autel. Em outro experimento, realizado com o Reno 14 F 5G, comandos enviados pelo chip fizeram o celular permanecer conectado à antiga rede 2G.

A alteração impediu o aparelho de utilizar redes mais modernas e permaneceu mesmo depois que o telefone foi reiniciado ou que suas configurações foram modificadas.

Alcance da vulnerabilidade ainda é incerto

Muench afirmou que ainda não é possível determinar com precisão quantos equipamentos em funcionamento podem estar expostos ao problema. “A equipe está bastante confiante de que cada módulo nas séries EC25, EG25 e RM52xN da Quectel está afetado”, declarou o pesquisador.

Segundo ele, esses componentes estão presentes em veículos, máquinas de cartão e outros dispositivos. A ausência de atualizações públicas de sistema, porém, dificulta verificar a dimensão da exposição em escala.

Os nove equipamentos considerados vulneráveis nos testes utilizam processadores de comunicação desenvolvidos pela Qualcomm. A empresa informou que desenvolveu uma trava de segurança para desativar a função por padrão nos novos chips.

A Quectel, fabricante dos módulos, afirmou ter corrigido falhas relacionadas ao acesso a arquivos e estar trabalhando em atualizações para proteger a interface de comandos.

Acumule cashback e transfira o dinheiro direto para sua conta!

A Bee Fenati (saiba mais aqui) segue em expansão para garantir aos seus usuários cada vez mais benefícios. Agora a plataforma conta com a Benefícios Rede Bee, que reúne descontos em dezenas de grandes marcas, com muitas delas oferecendo cashback, ou seja, o retorno de um valor da sua compra que poderá ser transferido para sua conta! (Saiba mais aqui)

Baixe o aplicativo nas lojas App Store (iOS) e Play Store (Android) e aproveite agora!

A rede oferece em um único ambiente ofertas em áreas como educação, compras, viagens, lazer, serviços, tecnologia e muito mais. Dentre as marcas parceiras estão Magalu, Renner, Drogasil, C&A, Casas Bahia, Petz, e outras dezenas de opções que oferecem tudo que você precisa na sua rotina!

Além de poderem aproveitar os descontos oferecidos pelas marcas parceiras, os sócios e contribuintes dos sindicatos filiados à Fenati (Federação Nacional dos Trabalhadores em Tecnologia da Informação) podem receber de volta um percentual a cada compra que realizarem em parceiros que oferecem o cashback.

Este valor fica em uma carteira digital dentro da plataforma e, a partir de R$ 20 reais acumulados em cashback, o trabalhador pode enviar o dinheiro direto para sua conta bancária! Na prática, a ferramenta permite que sócios e contribuintes dos sindicatos filiados à Fenati ZEREM o valor da sua contribuição assistencial e/ou associativa!

Atualmente, o valor da contribuição é de R$ 32,50 por mês para sócios e R$ 35 por mês para contribuintes, ou seja, é possível recuperar todo esse valor e ainda acumular muito mais – tudo isso contribuindo para fortalecer a categoria e transformando as compras do dia a dia em ganho real.

Qualifique-se agora com a Fenati Academy!

Dentro da Bee Fenati, o usuário encontra ainda a Fenati Academy, que oferece mais de 8 mil opções de qualificação e atualização profissional com bolsa integral para sócios e contribuintes de sindicatos filiados à Fenati. (Saiba mais)

Na plataforma, o profissional pode acessar o Sindplay, streaming de qualificação para profissionais de TI reconhecido como a “Netflix de TI”, que possui cursos em áreas como cibersegurança, Inteligência Artificial, desenvolvimento de softwares, desenvolvimento para a internet, administração de sistemas e redes, ciência de dados, gestão de projetos de TI, blockchain e tecnologias de moedas digitais, entre outras. (Saiba mais)

A ferramenta oferece também cursos em parceria com a Cisco Networking Academy, com CERTIFICAÇÕES GRATUITAS em áreas como segurança cibernética, Redes, IA, Ciência de dados, Inglês para TI, Programação, Tecnologia da informação, Alfabetização digital, Habilidades Profissionais (Soft skills) e Sustentabilidade. (Saiba mais)

Outra parceria da Fenati Academy é a Oracle University, uma das maiores referências globais em tecnologia. Os usuários já podem acessar cursos, trilhas de aprendizado e obter certificações Oracle gratuitamente ou com descontos exclusivos. Os conteúdos passam por áreas estratégicas como bancos de dados, computação em nuvem, inteligência artificial, desenvolvimento, automação e soluções corporativas. (Saiba mais)

Encontre o emprego dos seus sonhos com a Bee Hunter!

Sócios e contribuintes contam ainda com uma ferramenta para se aproximarem das melhores oportunidades do mercado de trabalho: a Bee Hunter, uma plataforma inteligente da Bee Fenati que utiliza tecnologia e inteligência artificial para tornar a busca por vagas mais eficiente, estratégica e conectada ao perfil de cada usuário. (Saiba mais aqui)

A partir do cadastro do currículo, a plataforma utiliza inteligência artificial para analisar informações como experiências, competências e objetivos profissionais, cruzando esses dados com vagas disponíveis em empresas parceiras como Vagas.com, Sinergy e Trampos e identificando as posições que mais combinam com o perfil do usuário.

A Bee Hunter vai além e auxilia o profissional a estar preparado para a vaga dos sonhos! Isso porque nossa inteligência analisa o perfil e sugere cursos da Fenati Academy que vão ajudá-lo a ampliar sua qualificação e elevar a aderência às vagas desejadas. Acesse agora clicando aqui e encontre seu emprego dos sonhos!

(Com informações de Tecmundo)
(Foto: Reprodução/Magnific/rawpixel.com)