网络整理2019-05-07 15:26热度:

短信嗅探调查:监控你只要不到30元?

  一位手机用户接连收到短信验证码。

  一名黑产设备卖家的QQ空间。

  一位安全圈人士发送给新京报记者的配置好的摩托罗拉C118手机。

  二手平台上有卖家出售短信嗅探采集系统。

  多位安全圈人士向新京报记者表示,小程的遭遇可能与一种被称为“GSM劫持+短信嗅探”的技术有关。其实,这并非个例。此前曾发生过凌晨收到上百条验证码,结果发现被盗刷的案件。

  经过记者进一步调查,实际上是2G网络协议的天然缺陷为其提供了犯罪的温床。

  每每回忆起不久前一天下午的遭遇,小程总是眉头紧皱。“觉得隐私被泄露了,很害怕。”

  小程是一名“准空姐”。不久前,经过6次和竞争对手的角逐,她终于在南方航空的面试中脱颖而出,等待着培训的到来。“看到南航短信验证码的时候像木头人一样,十分害怕会对未来有影响。”除了网贷和一些支付平台的密码外,两条来自南方航空的验证码让小程格外担心。对她而言,所有包含“南方航空”这四个字眼的信息都可以轻而易举触及她的未来。

  事后,据统计,小程在不到30秒的时间里,共收到29条验证码短信。

  “通过一种短信嗅探设备,可以直接嗅探到电信用户所有的手机短信。”意图“上岸”的老吕(化名)介绍。“上岸”是黑产从业者中的行话,为了规避风险,一些黑产从业者会在从事一段时间后“金盆洗手”。他表示,“黑产从业者有专门的手机号采集装备,利用采集到的手机号,可以在点卡网等实行找回密码等操作,实现盗刷。但是,这种设备只能攻击2G网络条件下的手机。配合降频设备,也可以强制让覆盖范围内手机网络状态变为2G,从而实现降频攻击。”

  与小程类似,去年7月30日,微博网友@-美年达芬奇发现,凌晨她的手机收到100多条验证码,包括支付宝、京东、银行APP等。据介绍,有人使用她的京东账户、支付宝等预订房间、给加油卡充值,总计盗刷了1万多元。当时,多位业内人士怀疑并提及了一项名为“GSM劫持+短信嗅探”的技术。

  3月27日,南昌市西湖区人民法院开庭审理了江西省首起利用短信嗅探设备实施网络盗窃消费的案件,这条黑色产业链也浮出水面。

  值得注意的是,这项黑产技术生命力颇为顽强,虽被多地警方所关注并打击,但仍在重拳整治下生存至今。

  新京报记者调查发现,短信嗅探设备易得、操作简便,实际上为黑产从业者设立了相当低的门槛。

  在某电商平台,记者通过搜索关键词“采集C118”后,出现12个名为“C118采集器系统软件全套”的商品。其中绝大多数商品封面或为嗅探成功的系统后台,或为已经改装好的摩托罗拉C118。新京报记者在一个系统后台的封面图片底部中注意到,“您好!您于2018-11-29 18:25:16.使用外部电商平台充值服务为135××××××××号码充值50.00元”这句话被用红线标注。“在线学习,包教会设备和系统,可以监测直径约500米范围的2G短信。”其中一名卖家告诉新京报记者,“全套设备和系统代码共1000元。”

  然而,对于这项技术而言,其实“并不值1000元”。

  公开资料显示,OsmocomBB是从硬件层到应用层彻彻底底开源的GSM协议实现项目。因为是开源,黑产从业者可以轻而易举获得该代码,甚至不必大量去学习通信相关专业知识,就能实现并模拟GSM协议,按照自己的需求随意更改,添加功能。

  值得一提的是,部分平台短信验证码内容的不合理,实际上也间接提供了犯罪的温床。“其实,这个设备只能嗅探到2G短信内容,但并不能嗅探到手机号。”老吕坦言,“用户手机中很多短信内容都包含用户的手机号,用这个手机号登录一些充值平台,然后点击更改密码或者直接充值,就可以技术变现。”

  只针对2G信号?从4G降为2G也要小心

  据介绍,2G短信嗅探设备总材料价格不足100元,但可以做到获取周边任何人的短信内容,危害特别大。基站以广播方式转发到用户手里的加密短信,可被这套设备所截取并破解还原出来,最终被黑产用户实现信息窃取、资金盗刷和网络诈骗等犯罪。此前此类犯罪只针对移动与联通,不针对电信,同时这种犯罪只针对2G信号。

  “2G本来就是开源的,在数据传输过程中也没有加密。”隋刚向新京报记者介绍说,在短信嗅探中,C118手机只是扮演着一个伪基站的角色。

  给不法分子可乘之机的,却是2G网络的天然缺陷。“2G网络其架构本身就是开源的,其使用的GSM协议也都是明文传输。因为并没有加密,所以在传输的过程中就可以嗅探到。将C118连接至电脑,然后用类似Wireshark的网络抓包工具直接抓包,就可以抓出来通信过程中的所有指令。”隋刚说。

  隋刚说:“我们能做的事情还有很多,比如说U盾等实体二步认证硬件就可以很好地防范这种攻击。”

  新京报记者进一步调查发现,GSM短信嗅探攻击已基本实现全链条化。在电信用户的短信验证码、手机号码被劫持的的基础上,黑产从业者可以通过社工库等方式获取身份证号码、银行账号、支付平台账号等敏感信息。

  在这个QQ群里,共聚集着377名黑产从业者。每天,如何“赚大钱”成为群内学习和讨论的焦点。

  有接近黑灰产的人士指出,随着国内监管愈发严格,社工库一般只供黑产团伙内部使用。并且,目前灰产从业者有向国外转移的趋势。在暗网上的某个交易市场中,新京报记者发现大量包含“个人信息查询”的交易帖。其中一则帖子中显示,可以查户籍信息、开房信息、婚姻、宽带。在该交易帖中,根据查询信息不同,价位也从0.014BTC-0.15BTC不等。交易信息一览中显示,该商品单价为1美元,用户可以通过调整购买数量来满足不同需求。在不可追踪的暗网交易市场中,该服务“颇有卖相”,截至4月28日,该商品显示已被购买1368次。

  短信验证码安全吗?

  据《2018网络黑灰产治理研究报告》估算,2017年我国网络安全产业规模为450多亿元,而黑灰产已达近千亿元规模;全年因垃圾短信、诈骗信息、个人信息泄露等造成的经济损失估算达915亿元。而且电信诈骗案每年以20%至30%的速度在增长。

  那么,面对规模如此庞大的黑灰产,短信验证码是否已经显得捉襟见肘了呢?对此,隋刚认为,虽然在嗅探的情景下,短信验证码并不安全,但是就目前来说,短信验证码仍是一个切实可行的方案。

  如何防范短信嗅探?

  该指引指出,攻击者在截获短信验证码后,能够假冒受害者身份,成功通过移动应用、网站服务提供商的身份验证安全机制,实施信用卡盗刷等网络犯罪,给用户带来经济损失。指引同时指出,缺陷修复难度大。目前,GSM网络使用单向鉴权技术,且短信内容以明文形式传输,该缺陷由GSM设计造成,且GSM网络覆盖范围广,因此修复难度大、成本高。攻击过程中,受害者的手机信号被劫持,攻击者假冒受害者身份接入通信网络,受害者一般难以觉察。

  上述指引也建议各移动应用、网站服务提供商优化用户身份验证措施,选用一种或采用多种方式组合,加强安全性:如短信上行验证(提供由用户主动发送短信用以验证身份的功能)、语音通话传输验证码、常用设备绑定、生物特征识别、动态选择身份验证方式等。

欢迎关注微信公众号:crjwz.com;合作及投稿请联系:1845609988@qq.com

极客赞助商
  • 4月23日,抚顺莱河矿业有限公司团委青年志愿者走进清原满族自治县英额门镇,为英额门镇中心小学和英额门镇中学...
    2019-05-07
  • 据介绍,为进一步健全完善孤儿保障体系,切实提高孤儿保障水平,省民政厅将2019年确定为“儿童福利工作规范化建...
    2019-05-07
  • 不久前的一天下午,石家庄科技工程职业技术学院的小程在学校附近突然接到许多短信验证码。小程不知道的是,她...
    2019-05-07
  • 信息技术日新月异,互联网普及率持续攀升,电子政务普惠高效,智能化生活“飞入寻常百姓家”……近年来,数字...
    2019-05-07
  • 2019年伯克希尔-哈撒韦公司股东大会4日在美国内布拉斯加州奥马哈市落下帷幕。在近6个小时里,伯克希尔-哈撒韦董事...
    2019-05-07
  • 5月6日,教育部会同国家教育统一考试工作部际联席会议成员单位联合召开电视电话会议。教育部部长陈宝生在会上表...
    2019-05-07
  • 今年全省高考报名人数24.4万人,比去年略有增加。我省要求各地各部门要从讲政治的高度,深刻认识做好高考安全工...
    2019-05-07
  • 搬进棚改新居后,“老棚户”的生活可谓是日新月异。在望花创业园区古城社区44号楼一个45平方米的单间,整个房间...
    2019-05-07
  • 5月6日,是我市2019年初中毕业生体育与健康课程考试(中考体育加试)第一天。今年我市有9886名学生参加中考体育加试...
    2019-05-07
  • 从数字福建到数字中国,从数字中国到数字海丝,十余年间,澎湃跳动的数字世界里,中国挺立潮头,引领风骚。当...
    2019-05-07