AdaptiveMobile Security的網絡安全研究人員近期披露了SIM卡中一個名為SimJacker的致命漏洞，攻擊者可以利用該漏洞通過發送短信直接監視或攻擊目標手機。
SimJacker漏洞位於S @ T（SIMalliance Toolbox）瀏覽器動態SIM工具包中，該工具包嵌入了至少30個國家的移動運營商所使用的大多數SIM卡中。專家們研究發現，漏洞的利用與受害者使用的手機型號無關。
而這起安全事件的可怕之處在於，一家私人監控公司至少在兩年前就發現了這個0天漏洞，並利用其對多個國家的手機用戶進行監控。
根據AdaptiveMobile發表了一篇文章，一個與政府合作監視個人的私人公司正在利用這一漏洞。
攻擊者可以利用這個漏洞：
確定目標設備的位置和IMEI信息
以受害者身份發送虛假信息
撥打預付費號碼進行詐騙
讓目標設備撥打攻擊者的電話號碼，以此監視受害者的周圍環境
強迫目標設備瀏的覽器打開惡意網頁來傳播惡意軟件
通過禁用SIM卡執行拒絕服務攻擊
檢索設備其他信息，如語言，電池電量等。
專家解釋說，這些攻擊對用戶來說是隱形的，受害者無法察覺到任何異常。專家們還透露，他們已觀察到攻擊者利用SimJacker攻擊了蘋果，谷歌，華為，摩托羅拉和三星等公司生產的智能手機。
研究人員稱，幾乎所有手機都容易受到SimJacker攻擊，因為此漏洞只是利用了SIM卡上的一個組件，而自2009年年以來，該組件就已存在於SIM卡中。最可怕的地方是，研究員指此漏洞已被黑客使用了最少 2 年，廣泛被應用於全球 30 個國家地區，包括中東、北非、亞洲與東歐地區。
GSM協會和SIM卡聯盟已收到了漏洞報告，後者已發布了一份針對SIM卡製造商的建議報告。移動運營商也可通過檢測可疑關鍵字來盡量攔截攻擊。
Source：Tech Radar
Text by Forrtune Insight
