I ricercatori Check Point hanno scoperto oltre 400 vulnerabilità nel chip Qualcomm integrato in oltre il 40 per cento dei telefoni del mondo, compresi i telefoni di fascia alta di Google, LG, Samsung, Xiaomi, OnePlus e altri. Attraverso queste vulnerabilità, i malintenzionati possono controllare un telefono Android per spiare, renderlo inaccessibile e nascondere attività malevole.
- Centinaia di sezioni di codice vulnerabile sono state trovate nel Digital Signal Processor (DSP) di Qualcomm
- Quasi tutti i telefoni Android esistenti sono esposti a potenziali attacchi
- Sebbene Qualcomm abbia sviluppato delle patch, i brand di telefonia devono ancora implementare delle correzioni, rendendo la minaccia ancora attuabile
In un report intitolato 'DSP-Gate' che verrà presentato durante DEF CON 2020, i ricercatori di Check Point hanno evidenziato gli importanti rischi per la sicurezza di oltre 400 vulnerabilità riscontrate nel DSP di Qualcomm:
- I malintenzionati possono trasformare il telefono in un perfetto strumento di spionaggio, senza che sia necessaria alcuna interazione con l'utente. Le informazioni che possono essere sottratte dallo smartphone includono foto, video, registrazione delle chiamate, dati del microfono in tempo reale, GPS e dati sulla posizione e altro ancora
- Gli aggressori possono sfruttare le vulnerabilità per rendere il vostro smartphone costantemente inaccessibile, facendo diventare tutte le informazioni memorizzate all'interno permanentemente non disponibili - comprese foto, video, contatti, ecc.
- Malware e altri codici malevoli possono nascondere completamente le attività di un hacker e diventare impossibili da rimuovere
Per sfruttare queste vulnerabilità, un hacker dovrebbe semplicemente persuadere l'obiettivo a installare una banale applicazione benigna, che non richiede alcuna autorizzazione.
DSP sta per processore di segnale digitale. Un DSP è un processore dedicato e ottimizzato per eseguire in maniera estremamente efficiente sequenze di istruzioni ricorrenti nell'elaborazione di segnali digitali. I DSP sono progettati per eseguire funzioni matematiche come addizione e sottrazione ad alta velocità con il minimo consumo di energia. La tecnologia si trova all'interno di cuffie, smartphone, altoparlanti intelligenti, attrezzatura audio da studio, sistemi di intrattenimento per veicoli e altro ancora.
Dopo aver condotto le proprie analisi sul DSP di Qualcomm, i ricercatori del Check Point affermano che i DSP rappresentano una importante frontiera di attacco per gli hacker. Questi chip introducono nuove superfici di attacco e punti deboli nei dispositivi mobile. I chip DSP sono molto più vulnerabili ai rischi in quanto vengono gestiti come 'Scatole Nere', poichè può essere molto complesso per chiunque altro che non sia il loro produttore rivedere il loro design, le funzionalità o il codice.
I ricercatori del Check Point hanno comunicato in modo responsabile le loro scoperte a Qualcomm. Il produttore del chip ha riconosciuto le vulnerabilità di sicurezza e ha notificato i relativi fornitori, rilasciando CVE-2020-11201, CVE-2020-11202, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 e CVE-2020-11209.
Check Point Research ha deciso di non pubblicare tutti i dettagli tecnici di queste vulnerabilità fino a quando i produttori di telefonia mobile non avranno una soluzione completa ai possibili rischi descritti. L'azienda ha deciso di annunciare questa scoperta per sensibilizzare l'opinione pubblica su questi problemi e ha aggiornato i funzionari governativi competenti e i produttori di dispositivi mobili interessati.
Spetta ora alle aziende produttrici integrare queste patch in tutte le proprie linee di smartphone, sia in produzione che già disponibili sul mercato. Secondo le nostre stime, ci vorrà un po' di tempo prima che tutti i vendor integrino le patch in tutti i loro telefoni. Quindi, non ci sembra che pubblicare tutti i dettagli tecnici sia la cosa più responsabile da fare, dato l'alto rischio che questi finiscano nelle mani sbagliate.