appareils mobiles
Tout savoir sur S@T Browser
La plupart des cartes SIM commercialisées depuis le début des années 2000, y compris l’eSIM, disposent d’un menu opérateur. Ce menu comprend certaines fonctions comme le Suivi conso, la Recharge, l’Assistance technique ou encore la Météo, l’Horoscope, et bien d’autres. Vous les trouviez dans le menu principal des anciens modèles de téléphones. Chez iOS, il est enterré profondément dans Réglages (puis Applications SIM) ; chez Android, il s’agit d’une application indépendante appelée SIM Toolkit.
Ce menu est tout simplement une application ou, plus précisément, plusieurs applications regroupées sous le nom SIM Toolkit (STK). Cependant, ces programmes ne fonctionnent pas sur le téléphone à proprement parler, mais sur la carte SIM. N’oubliez pas que votre carte SIM est en réalité un petit ordinateur possédant son propre système d’exploitation et ses propres programmes. L’application STK réagit aux commandes externes, comme les touches enfoncées du menu opérateur, et fait exécuter au téléphone certaines actions, comme envoyer des SMS ou des commandes USSD (Service supplémentaire pour données non structurées).
L’une des applications incluses dans STK s’appelle S@T Browser. Elle est utilisée pour visualiser les pages Internet d’un certain format et les pages situées sur le réseau interne de l’opérateur. Par exemple, S@T Browser peut fournir des informations sur le solde de votre compte.
L’application S@T Browser n’a pas été mise à jour depuis 2009, et bien que dans les appareils modernes ses fonctions soient exécutées par d’autres programmes, S@T Browser est toujours activement utilisée, ou est au moins toujours autant installée sur de nombreuses cartes SIM. Les chercheurs n’ont pas dit quelles régions ou opérateurs téléphoniques installent cette application sur leurs cartes SIM, mais ils ont affirmé que plus d’un milliard de personnes dans pas moins de 30 pays l’utilisent, et c’est dans S@T Browser que la vulnérabilité mentionnée ci-dessus a été découverte.
L’attaque SIMJacker
L’attaque commence par un SMS contenant un ensemble d’instructions pour la carte SIM. En suivant ces instructions, la carte SIM demande au téléphone portable son numéro de série, et l’identifiant de cellule de la station de base dans la zone de couverture où se trouve l’abonné, puis envoie une réponse SMS contenant ces informations au numéro du cybercriminel.
Les coordonnées de la station de base sont connues (et même disponibles en ligne), de sorte que l’identifiant de cellule puisse être utilisé pour déterminer la localisation du souscripteur à plusieurs centaines de mètres. Les services utilisant les données de localisation reposent sur le même principe pour déterminer votre emplacement sans assistance satellite comme, par exemple, lorsque vous êtes à l’intérieur ou lorsque le GPS est éteint.
L’utilisateur ne peut pas savoir que sa carte SIM a été piratée et ne remarque aucune manipulation. Les SMS entrants avec des commandes, ou encore l’envoi des données qui indiquent l’emplacement de l’appareil, n’apparaissent pas dans l’application Messages. Il est fort probable que les utilisateurs victimes de la faille SIMJacker n’en aient pas connaissance.
Qui a été touché par SIMJacker ?
Selon AdaptiveMobile Security, des espions ont suivi la localisation de personnes dans plusieurs pays. Entre 100 et 150 numéros sont menacés chaque jour dans un de ces pays. En général, les demandes ne sont pas envoyées plus d’une fois par semaine. Cependant, certains mouvements des victimes sont suivis de beaucoup plus près. L’équipe de recherche a remarqué que certains destinataires recevaient plusieurs centaines de SMS malveillants par semaine.
Les attaques de type SIMJacker peuvent aller beaucoup plus loin
Comme l’ont remarqué les chercheurs, les cybercriminels n’ont pas exploité toutes les capacités des cartes SIM grâce à l’application S@T Browser. Par exemple, les SMS peuvent être utilisés pour appeler n’importe quel numéro de téléphone, envoyer des messages aléatoires à des numéros arbitraires, ouvrir des liens dans le navigateur, et même désactiver la carte SIM, laissant en réalité la victime sans téléphone.
Cette vulnérabilité ouvre de nombreux scénarios d’attaque potentiels : les cybercriminels peuvent transférer de l’argent par SMS vers un compte bancaire, appeler des numéros courts surtaxés, ouvrir des pages d’hameçonnage dans le navigateur ou télécharger des chevaux de Troie.
Cette vulnérabilité est particulièrement dangereuse car elle ne dépend pas de l’appareil dans lequel la carte SIM vulnérable est insérée. Le jeu de commandes de l’application STK est standardisé et pris en charge par tous les téléphones, y compris les appareils IoT possédant une carte SIM. Pour certaines opérations, comme passer des appels, certains gadgets demandent la confirmation de l’utilisateur, mais beaucoup ne le font pas.
Comment un utilisateur peut-il empêcher une attaque de type SIMJacker ?
Malheureusement, il n’existe pas de méthode miracle permettant aux utilisateurs d’éviter que leur carte SIM soit piratée. La sécurité des clients relève de la responsabilité des opérateurs téléphoniques. Ils doivent, par-dessus tout, éviter d’utiliser les applications obsolètes du menu SIM et bloquer le code SMS contenant les commandes dangereuses.
Nous avons pourtant de bonnes nouvelles. Bien qu’aucun hardware onéreux ne soit nécessaire pour réaliser cette attaque, elle nécessite un savoir-faire technique assez approfondi et des compétences particulières. Cela signifie que cette méthode ne peut pas être déployée par n’importe quel cybercriminel et sa bande.
De plus, les chercheurs ont informé le développeur de l’application S@T Browser, SIMalliance, de cette vulnérabilité. En réponse, l’entreprise a publié un ensemble de directives en matière de sécurité à l’intention des opérateurs qui utilisent l’application. La faille SIMJacker a également été signalée à la GSM Association, une organisation internationale qui représente les intérêts des opérateurs téléphoniques dans le monde entier. Il est donc à espérer que les entreprises prendront toutes les mesures de protection nécessaires dans les meilleurs délais.
