0xNews - 삼성 모바일 폰 취약점 발견 - DEFCON 컨퍼넌스 2020 발표

포르투갈 보안업체 Char49 의 삼성의 Find My Mobile Android 취약점 발표

삼성 스마트폰 내 있는 내 모바일 기기 찾기 기능을 악용하여 다음 리스트의 악용 가능

사용자에게 심각한 영향을 미침

전화 잠금을 통한 영구적인 DoS 유발

공장 초기화를 통한 휴대폰 정보 완전 삭제 - SD 카드 포함

IMEI 를 통한 개인 정보 침해

강제 위치 추적

통화나 SMS 로그 접속 등 가능함을 확인

패치가 적용되지 않은 삼성 겔럭시 S7 S8 S9+ 등이 그 대상

삼성의 Find My Mobile 서비스를 사용하면

삼성 기기 소유자가 스마트폰이나 태블릿을 원격에서 찾거나 잠그기 가능

기기에 저장된 데이터 백업과 로컬 데이터 삭제 등 수행

연구팀은 추가적으로

대상 기기에 설치된 악성 앱에 의해 악용될 수 있는 4개의 취약점 확인

백엔드 서버에서 통신 정보 탈취

피해자를 스누핑하는 MiTM 공격 생성 가능 확인

이 취약점은 앱이 URL 을 로드하기 위해

기기의 SD 카드에 특정 파일이 있는지 확인하기 때문에 발생

악의적인 사용자가 잠재적으로 서버와의 통신을 탈취하는데 사용할 수 있음

URL 을 공격자가 제어하는 서버로 지정하고 등록을 유도

공격자는 IP주소를 통한 대략적인 위치, IMEI, 기기 브랜드, API 수준, 백업 앱, 기타 에러 정보 등을 확인

이를 위해 기기에 설치된 악성앱은 보호되지 않은 두개의 브로드캐스트 수신기 broadcast receivers 를 활용하는 익스플로잇 체인을 사용

Find My Mobile 앱에는 삼성 서버로 전송된 명령을 공격자가 제어하는 다른 서버로 리디렉션하고 악성 명령 실행

결과적으로 공격이 성공하면 앞서 언급한 공격 가능 리스트의 공격을 수행 가능

DEFON 발표 전체 영상 링크

링크는 이번 삼성 모바일 폰에 대한 케이스부터 시작

openLab