Пользователь «Хабра» нашёл в кнопочных телефонах вредоносные функции для перехвата SMS и тайной отправки данных в сеть

Трояны и бэкдоры позволяют злоумышленникам списывать деньги со счёта и следить за личной перепиской.

Пользователь «Хабра» под ником ValdikSS изучил работу пяти кнопочных мобильных телефонов стоимостью от 600 до 1499 рублей и выяснил, что почти все они имеют скрытые вредоносные функции. Оказалось, что телефоны не только отправляют SMS о факте покупки на определённый номер, но и шлют сообщения на платные короткие номера или пересылают их сторонним лицам через интернет. TJ публикует краткий пересказ расследования.

Автор расследования хотел использовать дешёвые кнопочные телефоны для приёма SMS-сообщений на компьютер, так как они «гораздо дешевле распространённых USB GSM-модемов» и поддерживают до четырёх SIM-карт. ValdikSS купил телефоны разных производителей на разных наборах микросхем.

Автор изучил работу устройств и «довольно быстро осознал, что с ними что-то не так». Его подозрения укрепились после чтения отзывов пользователей подобных кнопочных телефонов. Пользователь TJ ещё весной рассказывал, что кнопочный телефон его бабушки воровал SMS-сообщения и регистрировал фальшивые телеграм-аккаунты. Тогда он так и не смог обнаружить причину странного поведения устройства.

На сайтах интернет-магазинов и агрегаторов также можно найти отзывы о самопроизвольной отправке SMS с кнопочных телефонов и подозрительных списаниях денег со счёта.

Как пояснил автор расследования, существует несколько способов выявить скрытую активность кнопочных «бабушкофонов». Самый простой из них — запросить детализацию сотового оператора в личном кабинете пользователя. Нужно включить телефон со вставленной SIM-картой и оставить его в таком состоянии на сутки, после чего зайти в личный кабинет на сайте своего мобильного оператора и заказать детализацию активности.

Более сложный способ, требующий специальных знаний — анализ прошивки мобильного телефона. Для этого нужно извлечь прошивку из самого телефона или найти её в интернете, после чего распаковать (если это требуется) и исследовать код. ValdikSS использовал для этого взломанную версию программы Miracle Box, которая сама определяет параметры устройства и извлекает прошивку.

Также можно использовать базовую станцию 2G для перехвата, просмотра и модификации сотового трафика GSM/GPRS. Автор расследования соорудил такую станцию из платы радиоперехвата bladeRF x115, мини-компьютера Raspberry Pi 400, программного пакета YateBTS для базовой станции и анализатора трафика Wireshark — в общей сложности, он затратил на это 750 долларов (около 54,8 тысячи рублей по текущему курсу).

Скрытые функции можно разбить на три категории. Первая — отправка SMS на местный номер или выход в интернет для регистрации факта покупки устройства. Обычно это не приводит к большой трате денег, но IMEI-номер телефона и IMSI SIM-карты (международный идентификатор мобильного абонента) уходят «неустановленной организации или частному лицу». Причём это происходит после каждого сброса настроек устройства или даже извлечения аккумулятора.

Вторая категория скрытых функций — вирусы в прошивке устройства, которые отправляют SMS-сообщения на платные номера. Они сами предварительно подгружают из сети текст сообщений и нужные номера. Также она перехватывает подтверждающие SMS и сама отправляет текст подтверждения в ответ. Это может привести к значительным списаниям денег с личного счёта абонента.

Третья категория — функции, перехватывающие входящие SMS-сообщения и отсылающие их на определённый интернет-сервер. С помощью такого скрытого кода злоумышленники могут использовать номер телефона абонента для регистрации в различных онлайн-сервисах, которые требуют подтверждения через SMS. Возможно, именно с таким случаем столкнулся пользователь TJ.

Самым «чистым» из проанализированных устройств оказался самый дешёвый Inoi 101 — в его меню есть пункты SMS-подписок и платные игры, но устройство ничего не делает самостоятельно. В остальных устройствах автор расследования нашёл различные скрытые функции.

Какие скрытые функции автор нашёл в кнопочных телефонах

Телефон DEXP SD2810 уже попадал в СМИ — житель Новокузнецка в 2019 году жаловался на быстрый расход денег со счёта из-за странных SMS. На форуме пользователей мобильных устройств 4PDA также можно найти множество жалоб на вредоносные функции в дешёвых кнопочных телефонах и смартфонах.

Также автор расследования советует проверять купленные телефоны через детализацию сотового оператора, а в случае самовольной активности устройства — писать жалобы производителю и в Роспотребнадзор. Однако он отмечает, что его жалобы производителям привели к одинаковому ответу — ему посоветовали обратиться в сервисный центр.

#приватность #расследования