Check Point ha individuato centinaia di sezioni di codice vulnerabile all’interno di un chip - noto come Digital Signal Processor (Dsp) - che è prodotto da Qualcomm e si trova in oltre il 40% dei telefoni del mondo: in pratica in quasi tutti gli smartphone Android, compresi quelli di fascia alta di Google, Samsung, Lg, Xiaomi, OnePlus e altri ancora.
Dopo aver condotto le proprie analisi sul Dsp di Qualcomm, i ricercatori di Check Point affermano che questi rappresentano un’importante frontiera di attacco per gli hacker, introducendo nuove superfici di attacco e punti deboli nei dispositivi mobile. Questi chip sono molto più vulnerabili in quanto vengono gestiti come “scatole nere”, poiché può essere molto complesso per chiunque altro, che non sia il loro produttore, rivedere il design, le funzionalità o il codice.
In un report intitolato “DSP-Gate” i ricercatori di Check Point hanno evidenziato gli importanti rischi per la sicurezza derivanti da oltre 400 vulnerabilità riscontrate nel Dsp di Qualcomm. Potrebbe succedere che i malintenzionati trasformino il telefono in un perfetto strumento di spionaggio, senza che sia necessaria alcuna interazione con l’utente. Le informazioni che possono essere sottratte includono foto, video, registrazione delle chiamate, dati del microfono in tempo reale, Gps e dati sulla posizione e altro ancora. O ancora, lo smartphone diventa inaccessibile e le informazioni memorizzate all’interno permanentemente non disponibili, comprese foto, video, contatti e così via. Infine potrebbe succedere che il malware e altri codici malevoli possano nascondere completamente le attività di un hacker e diventare impossibili da rimuovere. Per fare questo un hacker dovrebbe semplicemente persuadere il possessore dello smartphone a installare una banale applicazione benigna, che non richiede alcuna autorizzazione.
Check Point Research ha scelto di non pubblicare tutti i dettagli tecnici di queste vulnerabilità fino a quando i produttori di telefonia mobile non avranno una soluzione completa ai possibili rischi descritti. Tuttavia la società ha deciso di rendere nota la scoperta per sensibilizzare l’opinione pubblica su questi problemi. Inoltre, ha aggiornato i funzionari governativi competenti e i produttori di dispositivi mobili interessati, e ha collaborato, con tutti i dettagli della ricerca, per aiutare a rendere i loro telefoni più sicuri.
“Anche se Qualcomm ha risolto il problema, purtroppo non è la fine della storia. Centinaia di milioni di telefoni sono esposti a questo rischio di sicurezza. Si può essere spiati. Si possono perdere tutti i dati. La nostra ricerca mostra il complesso ecosistema del mondo mobile. Con una lunga supply chain integrata in ogni singolo smartphone, non è banale trovare problemi profondamente nascosti in questi dispositivi, ma non è nemmeno banale risolverli. Per fortuna questa volta siamo riusciti a individuare questi problemi”, afferma Yaniv Balmas, Head of Cyber Research di Check Point. “Spetta ora ai vendor, come Google, Samsung e Xiaomi, integrare queste patch in tutte le proprie linee di smartphone, sia in produzione che già disponibili sul mercato”.