Tra i più stimati esperti in sicurezza informatica, Charlie Miller si è presentato sul palco all’ultima edizione del ciclo di conferenze Black Hat . Spiegando alle folle come controllare uno smartphone basato su Android – in realtà, anche gli esemplari di Nokia N9 con il sistema operativo MeeGo – attraverso la tecnologia nota come Near Field Communication (NFC) .
In via del tutto generica, le offensive basate sulla tecnologia NFC prevedono l’utilizzo di un lettore nascosto per trafugare i dati contenuti in una qualsiasi carta abilitata al trasferimento di informazioni come un numero di telefono o indirizzi web. Il malintenzionato di turno dovrebbe avvicinare il lettore fraudolento a pochi centimetri dalla tasca della vittima, in modo da strappare i dati in maniera efficace.
Charlie Miller ha invece scoperto una tecnica alternativa, ovvero basata su un tag NFC che indirizza automaticamente – e soprattutto in maniera silente – un dispositivo ad un sito malevolo attraverso Android Beam . L’esperto ha dimostrato alla platea del Black Hat di essere in grado di scaricare un malware per il conseguente sfruttamento di una vulnerabilità a livello browser.
In sostanza , il sito fraudolento permetterebbe ai cracker di installare in automatico un software maligno, ottenendo la possibilità di consultare senza autorizzazione cookie e pagine web visitate . Nei casi peggiori, il malware permette il controllo remoto dei vari dispositivi basati su Android. Lo stesso Miller avrebbe poi scovato dei bug nelle modalità di lettura del codice da parte delle tecnologie NFC.
Tra i dispositivi vulnerabili, Nexus S e Galaxy Nexus, entrambi prodotti da Samsung. Almeno una di queste vulnerabilità sarebbe stata risolta con Ice Cream Sandwich, ma non all’interno di Gingerbread . Sui Nokia N9, l’abilitazione di default della modalità NFC andrebbe a condividere automaticamente le informazioni attraverso Bluetooth (anche se disattivato). I malintenzionati sarebbero liberi di effettuare chiamate senza il consenso del proprietario del telefono.
Mauro Vecchio
Ti potrebbe interessare
27 lug 2012