Bir gözetim şirketi, cep telefonu kullanıcılarının konumlarını izlemek için gelişmiş bir SS7 bypass tekniğini kullanan tespit edildi.
Saldırı, dünya çapında mobil operatörler tarafından uygulanan güvenlik korumalarını atlatmak için SS7 ağlarının TCAP (işlem yetenekleri uygulama bölümü) katmanındaki daha önce bilinmeyen güvenlik açıklarından yararlanır.
Key Takeaways
1. Malformed SS7 commands mask the IMSI to enable location tracking.
2. An extended TCAP tag (30 13 9f 00 08) evades legacy SS7 firewalls.
3. In use since Q4 2024, this exploit has leaked subscribers’ locations.
SS7 Güvenliği ve Track IMSI atlama
Saldırı, TCAP protokol katmanı içinde kodlayan ASN.1 BER’de (temel kodlama kuralları) az bilinen bir özellikten yararlanır.
Saldırganlar, genişletilmiş bir etiket kodlama yöntemi kullanarak IMSI (uluslararası mobil abone kimliği) verileri içeren TCAP bilgi öğelerinin etiket kodu yapısını manipüle eder. Standart kodlama sırası 30 12 80 08 yerine, kötü amaçlı paketler 30 13 9F 00 08 kullanır ve etiket kodunu etkili bir şekilde normal tek oktet formatının ötesine uzatır.
Bu teknik, mobil operatörler tarafından konum izleme ve mobilite yönetimi için kullanılan meşru GSM-harita işlemleri olan PSI (supsubscriberInfo) komutlarını özellikle hedefler.
Genişletilmiş etiket kodlaması, hedef kullanıcıyı tanımlayan IMSI alanının birçok sinyal güvenlik sistemi için okunamaz hale gelmesine neden olur.
Güvenlik güvenlik duvarları IMSI’yi düzgün bir şekilde kodlayamadığında, yetkisiz konum isteklerini engellemesi gereken önemli ev-roaming ağ kontrolleri uygulayamazlar.
Bu saldırıların arkasındaki gözetim şirketi, bu TCAP manipülasyon tekniğini en az 4. çeyrek 2024’ten beri operasyonel araç setlerine entegre etti.
Yöntemleri, harici ağlardan genişletilmiş etiket kodları ile kötü biçimlendirilmiş PSI istekleri göndermeyi ve konumlarını normalde dış sorgulardan korunması gereken ev ağı abonelerini hedeflemeyi içerir.
Saldırı başarılı çünkü birçok SS7 yazılım yığını, bu kodlama yöntemi 40 yılı aşkın TCAP işlemlerinde nadiren kullanıldığından, genişletilmiş TCAP etiket kodlarını işlemek için hiçbir zaman tasarlanmamıştır.
Ek olarak, eski SS7 sistemleri genellikle düzenlenemeyen alanlara izin verilen bir yaklaşım benimser, bu da paketlerin yönlendirilebiliyorsa geçmesine izin verir ve son düğümlere kod çözme sorumlulukları bırakır.
ENEA’nın Tehdit İstihbarat Birimi, gerçek dünya senaryolarındaki bu güvenlik açığının başarılı bir şekilde kullanıldığını doğruladı ve PSI taleplerinin güvenlik önlemlerini atladığı ve abone konum verilerini iade ettiği tam konum izleme saldırılarını gözlemledi.
Teknik, gözetim şirketlerinin sinyal güvenlik savunmalarını yenmek için kullandığı gelişen bir baypas yönteminin bir kısmını temsil etmektedir.
Bu tehdidi ele almak için, güvenlik uzmanları, tüm kötü biçimlendirilmiş PDU yapılarının engellenmesini ve Beklenen IMSI alanlarının kodlanamadığı MAP PDU’ları için gelişmiş algılama uygulamasını önerir.
GSMA topluluğu, mobil operatörlerin sinyal güvenlik duruşlarını güçlendirmesine yardımcı olmak için önerilerle bu güvenlik açığı konusunda uyarıldı.
Bu keşif, saldırganlar tespitten kaçınmak ve hassas abone bilgilerine yetkisiz erişimi korumak için SS7 ağlarında bulunan karmaşık ASN.1 protokol yapılarından yararlanmaya devam ettikçe, gözetim kuruluşları ve telekomünikasyon güvenliği arasında devam eden silah yarışını vurgulamaktadır.
Tespiti artırın, uyarı yorgunluğunu azaltın, yanıtı hızlandırın; Güvenlik ekipleri için inşa edilmiş etkileşimli bir sanal alan ile hepsi -> Herhangi birini deneyin. Şimdi