Via een chip van Qualcomm, die in ongeveer veertig procent van alle Android-telefoons zit, kunnen hackers de gsm bespioneren, niet meer laten reageren of kwaadaardige activiteiten verbergen. Dat hebben onderzoekers ontdekt. 

De chip in kwestie is een zogenaamde digital signal processing (dsp)-chip die volgens Check Point ‘honderden’ kwetsbare delen code bevat. Een dergelijke chip is gespecialiseerd in het verwerken van realtime-signalen, zoals spraak-, video- en omgevingssignalen, en deze om te zetten in verwerkbare digitale data. De chip wordt bijvoorbeeld gebruikt om je stem te herkennen als je ‘Hé, Google’ naar je telefoon roept.

Check Point ziet drie grote problemen met de dsp’s van Qualcomm. Hackers kunnen de smartphone in een perfect spionagetoestel omtoveren, zonder dat er enige gebruikersinteractie nodig is. Alle data op de telefoon is te lekken, van foto's, video's, telefoongesprekken tot realtime-opnames via de microfoon, gps- en locatiegegevens. Het is ook mogelijk de telefoon niet meer te laten reageren, waardoor alle informatie - inclusief foto's, video's, contactgegevens - permanent niet meer beschikbaar is. Tot slot kan malware en andere kwaadaardige codes de activiteiten van een hacker volledig verbergen. Bovendien is deze malware niet zomaar te verwijderen.

Het is ook niet zo gigantisch moeilijk om de kwetsbaarheid uit te buiten, zegt Check Point. Daarvoor zou een hacker zijn slachtoffer enkel moeten overtuigen om een eenvoudige app te installeren. Die app moet zelfs geen machtiging of toegangsrechten krijgen. 

De chips introduceren nieuwe aanvalsmogelijkheden en zwakke punten in deze mobiele apparaten. Bovendien zijn ze veel kwetsbaarder voor risico's omdat ze worden beheerd als een soort ‘zwarte doos’, waardoor het voor iemand anders dan de fabrikant zeer complex kan zijn het ontwerp, functionaliteit of code van de dsp-chip te beoordelen.

De chipproducent heeft de beveiligingslekken erkend en de relevante leveranciers op de hoogte gebracht door patches uit te geven. Het is nu aan de smartphonefabrikanten, zoals Google, Samsung en Xiaomi, om deze patches te integreren in hun volledige aanbod, zowel nieuwe toestellen in productie als toestellen die al verkocht zijn. 

Alles bij de bron; Computable