Les pirates piratent des comptes de télégrammes et de messagerie avec l’attaque SS7

En attaquant le protocole SS7, les pirates peuvent intercepter les messages texte et les appels du véritable destinataire.

Selon Bleeping Computer, les pirates qui avaient accès au système OKS-7 (SS7) utilisé pour mettre en place des réseaux mobiles dans le monde entier ont pu accéder aux comptes Telegram et aux comptes de messagerie de personnalités bien connues du secteur de la crypto-monnaie .

Les pirates ont tenté d’obtenir des codes d’authentification à deux facteurs (2FA) via une vulnérabilité dans le système de messagerie SMS du fournisseur de téléphonie mobile de la victime.

Les pirates SS7 peuvent intercepter les messages texte et les appels du véritable destinataire, mettant à jour l’emplacement de l’appareil comme s’il était enregistré sur un autre réseau.

L’attaque a eu lieu en septembre et visait au moins 20 abonnés de l’opérateur mobile israélien Partner Communications (anciennement Orange Israel), qui étaient tous impliqués dans des projets de crypto -monnaie de haut niveau .

Tzachi Ganot, co-fondateur de Pandora Security à Tel-Aviv, qui a enquêté sur l’incident et aidé les victimes à retrouver l’accès à leurs comptes, a déclaré à BleepingComputer que toutes les preuves indiquent une attaque SS7.

Pandora Security se spécialise dans la création d’environnements numériques sécurisés et fournit des cybertechnologies et des services à des personnalités telles que des personnalités du monde des affaires et des célébrités. Selon Ganot, les clients comprennent certaines des personnes les plus riches du monde.

Ganot a signalé que les pirates ont probablement usurpé le centre de service SMS (SMSC) d’un opérateur de réseau mobile (nous n’avons pas été en mesure de déterminer lequel) afin d’envoyer une demande de mise à jour de localisation pour les numéros de téléphone des partenaires qui les intéressaient.

La demande de mise à jour exigeait essentiellement que Partner envoie tous les appels vocaux et messages SMS destinés au véritable destinataire au faux MSC .

Image : Cellusys via BleepingComputer

Ganot dit que les attaquants ont étudié les comptes de leurs victimes et les mots de passe qui leur ont été divulgués. Ils connaissaient les numéros d’abonnés internationaux uniques (MSISDN – Numéro d’annuaire international des abonnés pour les stations mobiles) et les numéros d’identité internationale des abonnés mobiles (IMSI ).

Les attaques SS7, bien que plus fréquentes ces dernières années, ne sont pas faciles à mettre en œuvre, car elles nécessitent une bonne connaissance de l’interfonctionnement des réseaux mobiles domestiques et du routage des communications au niveau mondial.

Dans ce cas, le but des pirates était d’obtenir de la crypto -monnaie. Ganot pense que certaines des boîtes aux lettres compromises de cette manière ont servi de méthode de sauvegarde pour d’autres comptes de messagerie contenant des informations plus précieuses, permettant à l’attaquant d’y accéder.

"Dans certains cas, les pirates se sont fait passer pour des victimes en piratant leurs comptes Telegram et en écrivant à certains contacts pour leur demander d’échanger BTC contre ETC et autres." – Tzachi Ganot

Cette arnaque est bien connue dans la communauté des crypto-monnaies et les utilisateurs se méfient généralement de telles demandes. Ganot dit que "pour autant que nous sachions, personne n’est tombé dans l’appât".

Si l’envoi de codes de vérification par SMS n’est pas sans raison considéré comme non sécurisé, de nombreux services, dont Telegram, s’appuient encore sur cette pratique, mettant les utilisateurs en danger.

Il existe aujourd’hui de meilleures méthodes d’authentification que l’authentification par SMS ou par appel. Les solutions incluent des applications conçues spécifiquement à cet effet, ou des clés physiques, a déclaré Ganot. Les normes de télécommunications doivent s’éloigner des protocoles hérités tels que SS7 (développé en 1975) qui ne sont plus capables de résoudre les problèmes d’aujourd’hui.

Le journal israélien Haaretz a publié les détails de l’attaque au début du mois, affirmant que l’Agence nationale de renseignement israélienne (Mossad) et la Direction nationale de la cybersécurité du pays étaient impliquées dans l’enquête.

La publication note également que Ganot et son partenaire (les fondateurs de Pandora Security) ont travaillé pour le NSO pendant plusieurs années .