چطور گوشی ها هک می شوند؛ ۷ روش رایج حمله ، توضیح داده شده

امنیت موبایل اغلب از امنیت کامپیوتر قوی تر است، اما کاربران همچنان می توانند با روش های مهندسی اجتماعی فریب بخورند و گوشی های هوشمند هنوز هم قابل هک شدن هستند. اینجا چیزهایی که باید مراقبشان باشید آورده شده است.

انقلاب گوشی های هوشمند قرار بود فرصت دوباره ای به صنعت فناوری بدهد تا یک پلتفرم محاسباتی امن ارائه کند. این دستگاه های جدید قرار بود قفل شده و در برابر بدافزار ایمن باشند، برخلاف رایانه های شخصی پرخطا و سرورهای آسیب پذیر.

اما مشخص شد که گوشی ها هنوز دستگاه های محاسباتی هستند و کاربران آن ها هنوز انسان اند، که هر دو همیشه نقطه های ضعف خواهند بود. ما با کارشناسان امنیتی صحبت کردیم تا بهتر بفهمیم مهاجمان معمولاً از چه روش هایی برای نفوذ به این کامپیوترهای و هک کردن کاربران استفاده می کنند.

۷ روش برای هک یک گوشی

• حمله های جاسوس افزار بدون کلیک (Zero-click spyware)
• مهندسی اجتماعی
• مالورتایزینگ (تبلیغات آلوده)
• اسمیشینگ (Smishing)
• برنامه های جعلی
• پیش متن سازی (Pretexting)
• دسترسی فیزیکی

حملات جاسوس افزار بدون کلیک

ترسناک ترین و پیشرفته ترین حملات روی گوشی های هوشمند، حملات بدون کلیک هستند، چون برای موفقیت نیازی به دخالت آشکار کاربر ندارند. راجر گریمز، مروج دفاع مبتنی بر داده در شرکت KnowBe4، توضیح داد که چگونه فروشندگان نظارتی تجاری (CSVها) این اکسپلویت ها را مسلح می کنند.

CSVها، که گاهی فروشندگان جاسوس افزار تجاری نامیده می شوند، سازمان های جنایی ای هستند که بدافزار و اکسپلویت ها را به بالاترین پیشنهاددهنده می فروشند. «CSVها مسئول اکثریت قریب به اتفاق روزهای صفر (zero day) هستند که امروزه پیدا می کنیم، به خصوص روی تلفن های همراه»، گریمز می گوید.

 «در سال ۲۰۲۳، روزهای صفر بیشتر از غیرروزهای صفر برای بهره برداری از مردم استفاده شدند.» خطرناک ترین انواع نیازی به تعامل کاربر ندارند: «قربانی هیچ کاری انجام نمی دهد»، او توضیح می دهد. «روز صفر بدون هیچ تماس کاربری اجرا می شود، یا کاربر فقط باید یک پیام را بخواند، یک ایمیل را باز کند، یک پیوست را باز کند، یا روی یک لینک کلیک کند.»

گریمز تأکید کرد که بسیاری از اکسپلویت ها به سادگی ارسال یک پیام پوش پس زمینه یا یک متن در واتساپ هستند ، «اینکه کاربر اصلاً آن را ببیند مهم نیست.» او اضافه کرد: «با حملات بدون کلیک، تقریباً ۱۰۰٪ از قربانیانی را که قادر به تماس با آن ها هستید، به دست می آورید.» این حملات اغلب به ارزش شش یا هفت رقمی به فروشندگان تجاری یا دولت ها فروخته می شوند. «شایعه است که دولت های ملی ای با توانایی کافی، مانند ایالات متحده، هزاران حمله بدون کلیک دارند … و وقتی لازم شود از آن ها استفاده می کنند.»

گریمز اشاره کرد که بسیاری از این حملات به تکنیک های دیرینه ای مانند بافر اورفلو (پرازش بیش از حد بافر) متکی اند. «بافر اورفلو اجازه می دهد کد مخرب اجرای برنامه ی قانونی را به اجرای کد مخرب هدایت کند»، گریمز توضیح می دهد. «لازم نبود پیام را باز کنید یا با آن تعامل داشته باشید ، تنها دریافت آن می توانست اکسپلویت را فعال کند.»

او اشاره کرد که در حالی که اکثر اکسپلویت های مدرن نیاز به تعامل کاربر دارند، «احتمالاً ۱۵٪ از اکسپلویت ها به سادگی سرویس یا اپلیکیشن زیربنایی را هدف می گیرند و اکسپلویت به طور خودکار اجرا می شود.»

دیوید ردکوپ، مدیرعامل ADAMnetworks، تأکید کرد که در حالی که اکسپلویت های بدون کلیک تهدیدی جدی و مداوم برای اهداف با ارزش بالا هستند، «این روش برای عموم مردم مناسب نیست.» او می گوید کاربران عادی با مجموعه ای از حملات کم تکنولوژی تر مواجه اند ، اما در بسیاری از موارد، این حملات می توانند به همان اندازه خطرناک باشند.

مهندسی اجتماعی

ساده ترین راه برای هر هکری که وارد هر دستگاهی شود این است که کاربر خودش در را باز کند. البته انجام این کار راحت تر از گفتن آن است، اما هدف اکثر حملات مهندسی اجتماعی همین است.

سیستم عامل های گوشی های هوشمند معمولاً امنیت سختگیرانه تری نسبت به رایانه های شخصی یا سرورها دارند، به طوری که کدهای برنامه در حالت sandbox اجرا می شوند و از افزایش دسترسی و کنترل کامل دستگاه جلوگیری می کنند. اما این مدل امنیتی که بسیار تبلیغ شده، یعنی کاربران موبایل باید اقدام مثبت انجام دهند تا کد به بخش های محافظت شده سیستم عامل یا حافظه گوشی دسترسی پیدا کند، یک نقطه ضعف دارد: باعث می شود پیام های پاپ آپ زیادی ظاهر شود که بسیاری از ما یاد می گیریم آن ها را نادیده بگیریم.

کاتالینو وگا سوم، تحلیلگر امنیتی در Kuma می گوید: «برنامه های موبایل دسترسی ها را جدا می کنند تا از دسترسی آزاد برنامه های مخرب به داده های شما جلوگیری کنند. پیام های پاپ آپ آشنا می شوند: ‘آیا می خواهید به این برنامه اجازه دسترسی به عکس های خود را بدهید؟’ به دلیل نحوه طراحی تجربه کاربری، اکثر کاربران یاد می گیرند که برای استفاده از عملکردهای برنامه، اکثر درخواست ها را قبول کنند.»

جاشوا مک کنتی، مدیرعامل و هم بنیان گذار Polyguard، می گوید ابزارهای فنی جدید که توسط گروه های سازمان یافته به کار گرفته می شوند، باعث احیای حملات مهندسی اجتماعی شده اند، «مانند انواع مختلف فیشینگ و مهندسی اجتماعی که اکنون با هوش مصنوعی تقویت شده اند.» او می گوید: «این شامل دیپ فیک ها، ایمیل ها و پیامک های فوق العاده شخصی سازی شده و کلاهبرداری هایی است که از داده های هویتی به دست آمده از نفوذها سوءاستفاده می کنند.»

مالورتایزینگ

یکی از مکانیزم های سنتی برای تولید آن دیالوگ باکس های فریبنده، همان طور که گفته می شود، «مالورتایزمنت ها» هستند که از زیرساخت توسعه یافته برای اکوسیستم تبلیغات موبایلی سوار می شوند، چه در مرورگر و چه در داخل یک اپلیکیشن.

خادِم بادیان، مدیر فناوری و هم بنیان گذار Polyguard، این را یک روش کلاسیک می داند که در حال کمرنگ شدن است. او می گوید: «مالورتایزینگ به دلیل پیشرفت ها در sandboxing مرورگرها، سیاست های سخت گیرانه تر فروشگاه های اپلیکیشن و تغییر کلی به سمت استفاده ی اپ محور موبایل به جای مرور وب سنتی، بسیار کمتر مؤثر شده است.»

اما دیوید ردکوپ از ADAMnetworks معتقد است که مالورتایزینگ هنوز جایگاه مهمی در اکوسیستم جرایم سایبری دارد. او می گوید: «با توجه به اینکه گوگل مرتباً تعداد دامنه هایی را که از طریق اطلاعیه های TAG حذف کرده گزارش می دهد و شخص ثالث ها گزارش می کنند که گوگل در سال ۲۰۲۴، ۵.۱ میلیارد تبلیغ مخرب را مسدود و ۳۹.۲ میلیون حساب تبلیغ دهنده را معلق کرده است، واضح است که مشکل مالورتایزینگ هنوز منسوخ نشده است.»

اسمیشینگ

یکی دیگر از مسیرهایی که مهاجمان از آن برای قرار دادن لینک های قابل تپ در مقابل قربانیان استفاده می کنند، پیامک های SMS است، روشی که به نام فیشینگ از طریق SMS یا اسمیشینگ شناخته می شود.

راسماس هولست، مدیر درآمد Wire، می گوید: «راه های متعددی وجود دارد که جرایم سایبری می توانند از طریق فیشینگ پیامکی استفاده کنند، بسته به نیت و هدف شان. اگر هدف نصب بدافزار روی یک دستگاه باشد، معمولاً یک فایل پیوست می شود و پیامی همراه آن تلاش می کند کاربر را قانع کند که روی آن کلیک کرده و آن را دانلود کند. برای مثال، جرایم سایبری می توانند خود را به صورت کسی مورد اعتماد جا بزنند، مانند یک کارفرما یا مدیر که از کارمند می خواهد سند پیوست شده را بررسی کند و برای یک قربانی شلوغ و بی خبر تله می گذارند.»

اسمیشینگ روش آزموده شده ای است، اما امروزه، به گفته مک کنتی از Polyguard، «چالش این است که لینک ها را ‘قابل کلیک’ کنیم.» او می گوید: «در ماه های اخیر، ما شاهد سوءاستفاده از تعدادی از آسیب پذیری ها در دفاع های لینک SMS اپل بوده ایم. این شامل هدایت لینک های مخرب از طریق دامنه های مورد اعتماد مانند گوگل (با استفاده از آسیب پذیری های AMP و Google Sites)، استفاده از استثناها برای آدرس های URL محافظت شده با basic auth با بهره گیری از گواهی های خالی در فرمت کم استفاده user:pass@host، و حتی یک آسیب پذیری احتمالی در پردازش زیردامنه های خالی بوده است.»

اپلیکیشن های جعلی

یک ترفند دیگر مهندسی اجتماعی برای متقاعد کردن مردم به آلوده کردن گوشی های شان با بدافزار، متقاعدکردن آن ها به دانلود اپی است که فکر می کنند می خواهند اما در واقع مخرب است. مک کنتی اشاره می کند که «اسباب بازی ها و بازی هایی که به دوربین، میکروفون یا موقعیت مکانی دسترسی دارند» نسخه های به ویژه قوی ای از این اپ ها هستند.

از آنجا که گوشی های موبایل مدل sandboxed دارند که کد برنامه را از سیستم عامل جدا می کند، این نوع اپ ها قبلاً به طور خاص آیفون های «جیلبریک شده» را هدف می گرفتند ، گوشی هایی که کاربران آن ها را تغییر داده بودند تا اپ هایی نصب کنند که با استانداردهای اپل سازگار نبود. اما به گفته راکی کول، که سال ها در NSA کار کرده و اکنون هم بنیان گذار و مدیر عملیات شرکت امنیت موبایل iVerify است، آن روزها تا حد زیادی گذشته اند.

او می گوید: «وقتی صحبت از هک گوشی های iOS می شود، کلمه ‘جیلبریک’ دیگر معنای زیادی ندارد. ما سال هاست که جیلبریکی را که با یک اکسپلویت iOS مرتبط باشد ندیده ایم. هک های واقعی iOS پیچیده اند و معمولاً در حیطه ی بازیگران دولتی و فروشندگان جاسوس افزار تجاری قرار دارند. برای اندرویدها، بیشتر ‘هک ها’ شامل بارگذاری به نوعی یک اپ مخرب هستند، یا با قاچاق آن به یکی از فروشگاه های اپ، متقاعدکردن کاربر برای sideload کردن آن، یا به گونه ای پیچیده تر اجرا کردنش.»

پیش متن سازی (Pretexting)

اگر کاربر حاضر به واگذاری کنترل دستگاهش نباشد، مهاجم می تواند از بالای سر او به سمت ارائه دهنده ی موبایل او برود. ممکن است به یاد داشته باشید رسوایی رسانه ای بریتانیا در اواسط دهه ۲۰۰۰ که در آن مطبوعات زرد از تکنیکی استفاده می کردند که آن را «blagging» می نامیدند تا به صندوق های پست صوتی (voicemail) سلبریتی ها و قربانیان جرایم دسترسی پیدا کنند. این روند، که همچنین پیش متن سازی نامیده می شود، مستلزم این است که مهاجم اطلاعات شخصی کافی درباره قربانی اش را جمع آوری کند تا در مکاتبات با شرکت تلفن همراه، خودش را به عنوان آن شخص جا بزند و بدین وسیله به حساب قربانی دسترسی پیدا کند.

روزنامه های زرد صرفاً به دنبال خبر داغ بودند، اما خلافکاران می توانند از همان تکنیک ها برای خسارت های جدی تر استفاده کنند. آدام کاهنکه، مدیر امنیت اطلاعات در Infosec Institute، می گوید: «اگر تأیید هویت موفقیت آمیز باشد، مهاجم شرکت مخابراتی را متقاعد می کند که شماره تلفن قربانی را به دستگاهی که در اختیار دارد منتقل کند، چیزی که به آن SIM swap گفته می شود. تماس ها، پیامک ها و کدهای دسترسی ، مانند کدهای احراز هویت دومرحله ای که بانک یا ارائه دهندگان مالی تان از طریق SMS به گوشی شما می فرستند ، اکنون به مهاجم می رسند و نه به شما.»

دست یابی فیزیکی به گوشی

یکی از واضح ترین ، اما نادیده گرفته شده ترین ، روش ها برای نصب بدافزار روی گوشی کسی این است که آن را به صورت دستی نصب کنید، وقتی به دستگاه دسترسی فیزیکی پیدا کرده اید. این مسئله به ویژه در سناریوهای خشونت خانگی یا تعقیب (stalking) اهمیت دارد، اما برای جاسوسی شرکتی نیز استفاده می شود.

بادیان از Polyguard می گوید: «وقتی کسی به دستگاه دسترسی فیزیکی دارد، چشم انداز ریسک به طور قابل توجهی تغییر می کند. ابزارهایی مانند FlexiSPY، mSpy یا Xnspy می توانند سریع نصب شوند و به صورت مخفی اجرا شوند و پیامک ها، گزارش تماس ها، موقعیت GPS و حتی فعال سازی میکروفون یا دوربین را بدون آگاهی کاربر ضبط کنند.

برای جاسوسی شرکتی، پروفایل های پیکربندی مخرب (به ویژه در iOS) یا APKهای sideload شده (در اندروید) می توانند برای تغییر مسیر داده ها، دستکاری ترافیک شبکه یا معرفی درهای پشتی دائمی به کار روند. همچنین تهدیدهای مبتنی بر سخت افزار وجود دارد: کابل های شارژ مخرب، کیلاگرها، یا دستگاه های جاسازی شده که می توانند داده ها را استخراج یا بدافزار تزریق کنند. با این حال، این ها معمولاً خارج از اهداف با ارزش بالا کمتر دیده می شوند.»

بادیان می گوید که دفاع های بیومتریک می توانند دور زده شوند اگر کسی که به گوشی شما دسترسی دارد، پین شما را بداند. او می گوید: «اگر یک مهاجم با رمز عبور شما دستگاه را باز کند، می تواند اثر انگشت یا اسکن صورت خودش را اضافه کند و دسترسی دائمی بدون بر جای گذاشتن رد و اثر ایجاد کند.» او تأکید می کند: «راه حل ها شامل استفاده از رمزهای عبور قوی برای دستگاه، کنترل های بیومتریک، غیرفعال کردن لوازم جانبی USB هنگام قفل بودن دستگاه و بررسی منظم پروفایل ها و تنظیمات مدیریت دستگاه است.»

هک های بلوتوث و وای فای کمتر رایج شده اند

دو روش پیشین و رایج برای دسترسی به گوشی ها و داده های آن ها ، بلوتوث و وای فای ، تا حد زیادی امن شده اند، به گفته کارشناسان امنیتی.

دیوید ردکوپ، مدیرعامل ADAMnetworks، عوامل زیادی را برای بسته شدن وای فای به عنوان مسیر حمله برمی شمارد: «کاربران عمومی در شبکه های وای فای قدیمی بیشتر با VPN آشنا شده اند و خود را با VPN محافظت می کنند؛ ارائه دهندگان بزرگ وای فای سخت افزار مدرن پیاده کرده اند که آسیب پذیری ها را می بندد؛ و از زمان ادوارد اسنودن، بیشتر وب سایت ها و سرویس های عمومی ما رمزگذاری شده اند، به طوری که حتی حمله MiTM از طریق وای فای هم اطلاعات مفید زیادی نمی گیرد.»

جاشوا مک کنتی، مدیرعامل Polyguard، می افزاید: «اکسپلویت های مبتنی بر بلوتوث مانند BlueBorne که به آسیب پذیری های پشته بلوتوث متکی بودند، نیز کاهش یافته اند. به روزرسانی های منظم و سخت گیری روی دسترسی ها در سیستم عامل های موبایل، اکثر این مسیرها را بسته است.»

وقتی نفوذ کردند، بعدش چه می کنند؟

زمانی که مهاجم با استفاده از یکی از روش های بالا نفوذی به دستگاه پیدا کند، مرحله بعدی چیست؟ کالوم دانکن، مدیر Sencode Cybersecurity، می گوید: «اگرچه سیستم عامل های گوشی های هوشمند در نهایت از سیستم های شبیه یونیکس مشتق شده اند، مهاجمی که نفوذی ایجاد کرده، خود را در محیطی کاملاً متفاوت از PC یا سرور می یابد.»

او می گوید: «اکثر اپ ها با سیستم عامل و سایر برنامه ها از طریق APIها در ارتباط هستند. کرنل های iOS و اندروید بسیار متفاوت از پایه یونیکس خود هستند، بنابراین اکسپلویت های مشترک تقریباً غیرممکن اند. خط فرمان برای هر دو سیستم وجود دارد، اما فقط با بالاترین سطح دسترسی قابل دسترسی است و معمولاً تنها با روت یا جیلبریک کردن دستگاه قابل استفاده است.»

اما دانکن تأکید می کند که «فقط سخت بودن به معنای غیرممکن بودن نیست. اکسپلویت های این نوع وجود دارند. ارتقای دسترسی (privilege escalation) کلید این روند است و دور زدن مکانیزم های ایمنی داخلی دشوار است، اما هر مهاجمی که توانایی اجرای کد روی دستگاه کاربر را دارد، دقیقاً همین کار را انجام می دهد ، اجرای کد روی دستگاه کاربر. اگر به اندازه کافی باهوش باشد، می تواند دستگاه را هرطور که بخواهد کنترل کند. گروه های دولتی مانند NSO از این تکنیک ها برای جاسوسی از افراد برای دولت ها و افراد مشهور استفاده کرده اند.»

کایتلین جوهانسون، مدیر مرکز امنیت برنامه های کاربردی Coalfire، می گوید که حجم زیادی از داده های حساس برای مهاجمانی که نفوذی پیدا کرده اند، قابل دسترسی است:

او می گوید: «پایگاه های داده ای مانند SQLite توسط اپ های نصب شده ایجاد می شوند و می توانند شامل همه چیز از محتوای درخواست و پاسخ وب تا اطلاعات حساس و کوکی ها باشند. ضعف های رایج در iOS و اندروید شامل کش کردن داده های اپ ها در حافظه (مانند اعتبارنامه ها) و حفظ تصاویر کوچک یا snapshotهای اپ در حال اجرا است که می تواند به طور ناخواسته اطلاعات حساس را روی دستگاه ذخیره کند. اطلاعات حساس ، اغلب بدون رمزگذاری ، به وفور در کوکی های مرورگر، فایل های crash، فایل های تنظیمات و محتوای کش وب ذخیره شده در فرمت های قابل خواندن روی دستگاه یافت می شوند.»

او ادامه می دهد: «ابزارهای توسعه ای که ایجاد شده اند، کار استخراج، تعامل یا حتی تغییر این داده ها را برای مهاجم آسان می کنند، مانند abd روی اندروید یا iExplorer و plutil روی iOS. ابزارهای استاندارد برای بررسی هر فایل پایگاه داده ای که از دستگاه کپی شده استفاده می شوند، و در صورت نیاز به رمزگشایی، ابزارهایی مانند Frida برای اجرای اسکریپت ها و رمزگشایی داده ها وجود دارد.»

مصونیت انسانی ضعیف ترین نقطه است

هیچ کدام از این ها آسان نیست. اکثر کاربران روی لینک های اسمیشینگ کلیک نمی کنند یا دسترسی های اضافی به اپ های مشکوک نمی دهند. حتی وقتی هکرها نفوذی روی دستگاه پیدا می کنند، اغلب توسط مکانیزم های امنیتی داخلی گوشی ها محدود می شوند.

اما مهاجمان یک مزیت دارند: اصرار و پشتکار زیاد. هَنگ شلس، مدیر بازاریابی محصول Lookout، می گوید: «مهاجمان مدل های خودکار و تکرارپذیری ایجاد می کنند که هر زاویه از یک اپ موبایل یا نسخه جدید سیستم عامل را بررسی می کنند تا نقطه ضعف پیدا کنند. وقتی ضعف قابل اکسپلویت پیدا شد، سعی می کنند از آن به نفع خود استفاده کنند، قبل از اینکه اصلاح منتشر شود.»

شاید بزرگ ترین آسیب پذیری، بی توجهی انسان ها باشد: با وجود بیش از یک دهه شواهد، بسیاری از افراد فکر می کنند گوشی ها امن هستند و آن ها را از سایر موضوعات امنیت اطلاعات جدا می کنند. راکی کول از iVerify می گوید: «مردم هنوز فکر می کنند گوشی ها نقاط پایانی سنتی نیستند، و با استثنائات نادر، در چارچوب استانداردها و رویه های سایر دستگاه ها مانند دسکتاپ ها قرار نمی گیرند. امنیت موبایل دیگر نباید موضوعی جزئی یا راه حل خانگی باشد. باید بخشی از هر استراتژی جامع تشخیص و پاسخ به نقاط پایانی باشد.»

چطور بفهمم هک شده ام؟

نگرانید که گوشی تان هک شده باشد؟ دو کارشناس نشانه های زیر را پیشنهاد کرده اند:

دیوید ردکوپ، مدیرعامل ADAMnetworks:

• مراقب اپ هایی باشید که نصب شده اند اما شما درخواست نکرده اید.
• اگر اپی با امکانات ساده نصب شده، ممکن است یک عملکرد مفید ارائه دهد ولی به طور پنهانی کار دیگری انجام دهد.
• مراقب اپ هایی باشید که دسترسی های غیرضروری دارند؛ برای مثال، موقعیت جغرافیایی معمولاً فقط برای نقشه ها لازم است.