US katonai okostelefonokat vesznek célba roaming és Ad Tech útján

A Citizen Lab dokumentálja az SS7 roaming-kihasználást és az ad tech alapú megfigyelést az amerikai katonai személyzet ellen. Íme, mit követel valójában a támadási felület a biztonsági csapatoktól.

Fenyegetésintelligencia és attribúció

Kinek: Biztonsági szakemberek

Amerikai Katonai Okostelefonok Célkeresztben: Roaming és Reklámtechnológia

A Citizen Lab Gary Millere a Financial Timesnak elmondta, hogy az amerikai katonai személyzetet két párhuzamos támadási felületen keresztül követik nyomon: a mobil roaming infrastruktúrán és a kereskedelmi reklámökoszisztémán. A teljes jelentés a citizenlab.ca oldalon érhető el. Ami a hírcímen túl is figyelmet érdemel, az a két vektor tudatos kombinálása – és az, amit ez a kombináció megkövetel mindazoktól, akik magas értékű célpontok ellen, illetve azok védelmében végeznek biztonsági munkát.

Ez nem összefoglalója annak, amit a Citizen Lab publikált. Ez elemzés arról, hogy a kampány architektúrája mit árul el – és arról, hogy mi a teendő mindebből.

Mit árul el valójában a támadási felület

Az SS7 és az ad tech nem véletlen kombináció. Redundáns követési csatornákat alkotnak: blokkold vagy észleld az egyiket, a másik tovább fut.

A mobil roaming az SS7-re és utódjára, a Diameter protokollra épül – olyan protokollokra, amelyeket abban a korban terveztek, amikor a telekomoperátorok közötti bizalom adottnak számított, nem ellenőrzöttnek. Amikor egy eszköz roamingol, helyszín- és azonossági jeleket sugároz, amelyeket bármely, interconnect-hozzáféréssel rendelkező operátor lehallgathat vagy átirányíthat. Az amerikai katonai személyzet globálisan van telepítve. Eszközeik folyamatosan roamingolnak. Ez az alapvető műveleti valóság, nem kivételes helyzet.

Az ad tech egy civil szintű megfigyelési réteget ad hozzá, amely sem malware-t, sem exploitot nem igényel. A mobil hirdetési azonosítók – az Apple IDFA-ja, a Google GAID-ja, és a köré épített valószínűségi ujjlenyomat-ökoszisztéma – konverziókövetésre lettek tervezve. A valós idejű hirdetési aukciók bid-stream adatai azonban lehetővé teszik a passzív geolocation-t értelmes pontossággal, anélkül hogy az eszközhöz hozzá kellene férni. A Trinity College Dublin kutatása dokumentálta, mekkora viselkedési adatmennyiséget továbbít az iOS és az Android normál működés során az Apple-nek és a Google-nek. A megfelelő büdzsével és egy adatközvetítővel vagy demand-side platformmal kapcsolatban álló nemzetállami szereplőknek egyáltalán nincs szükségük exploitra – egyszerűen megvásárolják a követési adatokat, amelyeket a telefon amúgy is sugároz.

Az SS7-alapú támadásokhoz telecom-szintű hozzáférés szükséges, és valamilyen forensic nyomot hagynak maguk után. Az ad tech alapú megfigyeléshez pénz kell. Ez az aszimmetria lényege.

Következmények az offenzív biztonsági kutatók számára

Ha red teamben vagy adversariális kutatásban dolgozol, ennek a kampánynak három tanulsága kellene, hogy megváltoztassa a fejlett fenyegetésekről alkotott modelledet.

A fizikai-digitális határ sokkal átjárhatóbb, mint ahogy a legtöbb bevetés modellezi. Egy katonai vagy kormányzati célpont ellen végrehajtott realisztikus APT-szimulációban már az aktív kihasználás megkezdése előtt számolni kell a passzív helyadat-begyűjtéssel, amelyet az ad tech tesz lehetővé. A bid-stream felderítés semmilyen naplót nem hagy a célpont infrastruktúráján. Ez hozzáférés előtti hírszerzési gyűjtés, amelyet a blue team nem láthat, mivel az teljesen a láthatósági peremzónájukon kívül zajlik.

A mobileszköz nem végpont — szenzortömb. A standard bevetések hálózati betörésre, phishingre és végpont-kompromittálásra összpontosítanak. Egy olyan eszköz azonban, amely IMSI-t, reklám-azonosítót és viselkedési telemetriát sugároz kereskedelmi harmadik feleknek, miközben valaki zsebében lapul, folyamatos exfiltrációs csatorna — amelyet egyetlen EDR sem fog jelezni. Mielőtt aktív támadási láncot terveznél, modellezd, mit sugároz már most a célpont eszköze.

A roaming nem konfigurációs hiba — megbízhatósági határt érintő sebezhetőség. Az SS7/Diameter támadási felület azért létezik, mert a globális telecom rendszer megköveteli, hogy a szolgáltatók kölcsönösen megbízzanak egymásban. Egy együttműködő vagy kompromittált szolgáltatóhoz — az állami tulajdonú telkók kézenfekvő eszközök ehhez — hozzáféréssel rendelkező ellenfelek kihasználhatják ezt a bizalmi viszonyt bármely roaming eszköz ellen anélkül, hogy hozzányúlnának a célszervezet infrastruktúrájához. A GSMA FS.11 SS7 és SIGTRAN hálózati biztonsági dokumentációja hasznos taxonómiát nyújt ezekhez a támadási osztályokhoz, ha threat-könyvtárakba építed őket.

Következmények a védelmi szakemberek számára

A Citizen Lab-jelentés egy dolgot tesz nehezen halaszthatóvá: nem lehet megvédeni olyan perimetert, amelyet maga a mobileszköz sohasem tisztel.

A vállalati MDM és MTD eszközök már egész jók az eszközön belüli fenyegetések kezelésében – rosszindulatú alkalmazások, jailbreakelés, hálózati anomáliák. Amire viszont nem képesek: megakadályozni, hogy egy roaming eszköz felfedje IMSI-azonosítóját egy ellenséges hálózat felé, vagy megállítani, hogy a reklámökoszisztéma monetizálja azokat a telemetriaadatokat, amelyek megosztását az operációs rendszer egyébként engedélyezi.

A magas kockázatú személyeket – felsővezetőket, kormányzati vállalkozókat, katonai környezetben mozgó szervezetek tagjait – védő csapatok számára a mobilbiztonsági helyzetet három koncentrikus fenyegetési gyűrűre kell leképezni:

1. Eszközön belüli fenyegetések (malware, spyware, hibás konfiguráció) – kezelhetők a jelenlegi MTD eszközökkel
2. Hálózati rétegbeli fenyegetések (SS7/Diameter-kihasználás, IMSI-befogók, hamis bázisállomások) – kezelhetők szolgáltatói szintű vezérlőkkel, privát hálózati telepítésekkel, valamint a nem minősített eszközökön a nemzetközi roamingot korlátozó szabályzatokkal
3. Ökoszisztéma-szintű fenyegetések (reklámtechnológiai megfigyelés, adatbróker-aggregáció, bid-stream követés) – kizárólag hirdetési azonosítók visszaállítási szabályzatával, OS-szintű adatvédelmi vezérlőkkel, és egyes alkalmazáskategóriák szervezeti szintű tiltásával kezelhetők érzékeny eszközökön

A legtöbb vállalati program érett válaszokkal rendelkezik az első gyűrűre. Elenyészően kevés szervezet operacionalizált bármit is a második és harmadik gyűrűre vonatkozóan.

Mit tegyünk a gyakorlatban

Egyéni biztonsági szakemberek számára

• Tekints az eszközödre úgy, mint egy megfigyelés alatt álló szenzorra. Rendszeresen állítsd vissza a reklám-azonosítódat. iOS-en használd az aktuális App Tracking Transparency beállításokat. Androidon tiltsd le a hirdetési személyre szabást. Ezek növelik a tartós korreláció elvégzésének költségét – de nem szüntetik meg.
• Ellenőrizd az alkalmazásaidat az adatmegosztási nyilatkozataik alapján. Sok teljesen legális alkalmazás üzleti megállapodás keretében továbbítja a tartózkodási helyet hirdetési hálózatoknak. Az Exodus Privacy elemzi az Android APK-kat a beágyazott követési SDK-k után kutatva – érdemes lefuttatni minden rendszeresen használt alkalmazáson.
• Légy szkeptikus a roaming használatával kapcsolatban kockázatos utazási kontextusban. Biztonsági konferenciák, kormányzati megbeszélések és állami tulajdonú telekommunikációs vállalatokkal rendelkező országok mind olyan környezetek, ahol az eszközöd roaming-tevékenysége ellenséges infrastruktúra számára is megfigyelhető lehet.

Biztonsági csapatok számára

• Vezess be reklám-azonosító-kezelési szabályzatot az MDM-rendszeredben. A legtöbb platform támogatja. Kevés szervezet tette meg ezt szisztematikusan. Ez egy alacsony súrlódású kontroll, amely érdemben csökkenti a passzív korrelációs támadások hatékonyságát.
• Formalizáld a nemzetközi roaming-szabályzatot az érzékeny beosztású munkatársak számára. A szabályzatnak nem kell megtiltania az utazást. Azt kell rögzítenie, hogy mely eszközök használnak roamingot, milyen hálózatokon, és milyen kompenzáló kontrollok érvényesek – VPN-kényszerítés, roaming-adatkorlátozás, dedikált utazási eszközök.
• Add hozzá az SS7/Diameter fenyegetésmodellezést a threat intel programodhoz. Valószínűleg nem tudod közvetlenül monitorozni az SS7-támadásokat, de a mobilszolgáltatói kapcsolataid és az MTD-szállítód rendelkezhet bizonyos telemetriával. Kérdezz rá kifejezetten, hogy az MTD-megoldásod látja-e a hálózati réteg jelzési anomáliáit. A legtöbbet még sosem kérdezték erről.
• Rendelj meg mobilspecifikus red team gyakorlatokat, amelyek a passzív megfigyelést az ad-tech és a hálózati réteg felderítésén keresztül modellezik – nem csupán phishing és végponti kihasználás útján. Ha a red teamednek még soha nem kellett egy céleszközt geolocation-nel azonosítani nyílt hirdetési ökoszisztéma-forrásokból, nem látsz teljes képet a kitettségedről.

OSINT-elemzők számára

Az itt dokumentált ad-tech infrastruktúra egyben legitim OSINT-forrás is a jogi és etikai kereteken belül dolgozó elemzők számára. A bid-stream adat, a mobilhelyzet-adat és a hirdetési telemetria kereskedelmi forgalomban elérhető, és újságírók, kutatók már felhasználták célszemélyek fizikai mozgásának dokumentálására. Annak megértése, hogyan kerülnek kiosztásra a mobil reklám-azonosítók, hogyan maradnak fenn alkalmazás-munkamenetek között, és mit aggregálnak köréjük az adatbrókerek, ma már nem szűk szakterületi tudás – ez alapkompetencia mindenki számára, aki mobilmegfigyelési munkát végez, akár offenzív oldalon, akár ügyfeleket tanácsoz saját kitettségükről.

A Strukturális Probléma

Az SS7 protokollt nem arra a konfrontatív környezetre tervezték, amelyben ma működik. A kereskedelmi reklámökoszisztéma sem megfigyelési eszköznek készült, mégis skálán pontosan azt a funkciót tölti be. Egyik problémát sem orvosolja egy szervezeti szintű patch vagy egy irányvonaldokumentum. Mindkettő ágazati koordinációt igényel: az SS7 felváltásának felgyorsítását, a mobilos adatvédelmi szabályozások érdemi kikényszerítését, és a jelzési visszaélések ellen hálózati szintű szűrést a szolgáltatók részéről. A GSMA közzétette az iránymutatásait. A szabályozó hatóságok elismerték a problémát. A haladás tempója messze elmarad a kihasználás ütemétől.

Addig a biztonsági csapatok azt teszik, amit mindig: csökkentik a támadási felületet, növelik a támadó költségeit, ahol lehetséges, észlelést építenek ki, és belső és külső érveket gyártanak az érdemi strukturális változásokhoz.

A Citizen Lab-jelentés egy kézzel fogható bizonyíték ehhez az érvhez. Használják fel.

Elsődleges forrás: Gary Miller / Citizen Lab, “US Military Smartphones Targeted Through Roaming and Ad Tech”, Citizen Lab, University of Toronto.

További források: GSMA FS.11, „SS7 and SIGTRAN Network Security”; Doug Leith, „Mobile Handset Privacy: Measuring The Data iOS and Android Send to Apple And Google,” Trinity College Dublin, 2021.