Gevaarlijke featurephones

Een recente review van vijf entry-level mobiele telefoons in de prijsklasse van 10 € tot 20 € onderzocht hun beveiliging in detail. Dergelijke telefoons worden vaak “featurephones” of “oma-telefoons” genoemd – en worden vaak aangeschaft voor oudere familieleden die niet aan smartphones willen of kunnen wennen – en kunnen ook dienen als reservetoestel mocht er ooit iets gebeuren. Sommige mensen denken ook dat ze veiliger zijn dan Android-smartphones.

De recensent weerlegde dat laatste idee echter. Hij ontdekte verschillende functies in vier van de vijf telefoons: Twee zenden gegevens uit bij de eerste keer inschakelen (waardoor de persoonlijke gegevens van de nieuwe eigenaar worden gelekt), en de andere twee lekken niet alleen privégegevens, maar kunnen de gebruiker ook op betaalde inhoud abonneren door heimelijk via het internet met een commandoserver te communiceren.

Geïnfecteerde featurephones

De auteur van het onderzoek geeft informatie over de methoden die zijn gebruikt om de firmware van deze eenvoudige apparaten te analyseren, waarvan de technische details interessant kunnen zijn voor degenen die dezelfde analyse willen herhalen. Laten we eerst eens naar zijn bevindingen kijken.

Van de vijf telefoons sturen er twee de gegevens van de gebruiker ergens heen als ze voor het eerst worden aangezet. Waar die gegevens naartoe gaan (de fabrikant, distributeur, firmware-ontwikkelaar of iemand anders), is niet duidelijk. Tevens is onduidelijk hoe die gegevens gebruikt zouden kunnen worden. Men zou kunnen denken dat dergelijke gegevens nuttig zijn om de verkoop te volgen of de distributie van partijen producten in verschillende landen te controleren. Om duidelijk te zijn, het klinkt niet erg gevaarlijk; en per slot van rekening verzendt elke smartphone wel wat telemetriegegevens.

Vergeet echter niet dat alle grote smartphonefabrikanten op zijn minst proberen de gegevens die ze verzamelen te anonimiseren, en dat de bestemming ervan meestal min of meer duidelijk is. In dit geval is er echter niets bekend over wie de gevoelige informatie van de eigenaars zonder hun toestemming verzamelt. Een van de telefoons verzendt bijvoorbeeld niet alleen zijn serienummer, land van activering, firmware-info en taal, maar ook de identificatie van het basisstation, wat handig is om de locatie van de gebruiker ongeveer vast te stellen.

Bovendien is de server die de gegevens verzamelt op geen enkele manier beschermd, zodat de informatie in feite voor het oprapen ligt. En nog een klein detail: de verzending vindt via het internet plaats. Om duidelijk te zin: de gebruiker van ene featurephone weet wellicht niet eens dat het apparaat online kan gaan. Dus, afgezien van alle gevaren, kunnen deze heimelijke acties ook nog eens leiden tot onverwachte kosten voor mobiel verkeer.

Een andere telefoon uit de onderzoeksgroep lekte niet alleen gebruikersgegevens, maar was ook geprogrammeerd om geld van de eigenaar te stelen. Volgens de firmware-analyse maakte de telefoon via het internet contact met de commandoserver en voerde het instructies uit, waaronder het verzenden van verborgen tekstberichten naar betaalde nummers.

Het volgende telefoonmodel had een nog geavanceerdere schadelijke functionaliteit.  Volgens een daadwerkelijke telefoongebruiker heeft een volledig onbekend iemand het nummer gebruikt om zich aan te melden bij Telegram. Hoe kon dat gebeuren? Voor de aanmelding bij bijna elke messaging-app moet er een telefoonnummer worden opgeven waarnaar een bevestigingscode per sms wordt gestuurd. Het lijkt er echter op dat de telefoon dit bericht kan onderscheppen en de bevestigingscode naar een C&C-server kan doorsturen, terwijl deze activiteit voor de eigenaar verborgen blijft. Terwijl in de vorige voorbeelden slechts sprake was van onvoorziene uitgaven, dreigen in dit scenario echte juridische problemen, bijvoorbeeld wanneer het account wordt gebruikt voor criminele activiteiten.

Wat moet ik doen nu ik weet dat deze simpele telefoons onveilig zijn?

Het verschil tussen deze moderne goedkope telefoons en hun tegenhangers van 10 jaar geleden is dat nu zelfs spotgoedkope schakelingen internettoegang kunnen bieden. Zelfs met een verder schoon toestel kan dit een onaangename ontdekking blijken: een telefoon die speciaal is uitgekozen omdat hij geen verbinding met internet kan maken, gaat toch online.

Eerder analyseerde dezelfde onderzoeker een andere telefoon met drukknoppen. Hoewel hij geen kwaadaardige functionaliteit vond, had het toestel een menu met betaalde abonnementen voor horoscopen en demospelletjes, waarvan de gebruiker de volledige versies kon ontgrendelen – en betalen – met een sms’je. Met andere woorden, uw bejaarde familielid of kind kan de verkeerde knop indrukken op een telefoon die speciaal is aangeschaft vanwege het gebrek aan internet en apps, en uiteindelijk toch voor zo’n fout moeten betalen.

Wat dit verhaal over “besmette” mobiele telefoons belangrijk maakt, is dat het vaak de fabrikant of een dealer in China is die de “extra functies” toevoegt, zodat lokale distributeurs zich misschien niet eens bewust zijn van het probleem. Een andere complicerende factor is dat druktoetstelefoons in kleine partijen in een groot aantal verschillende modellen worden geleverd, en het moeilijk is om een normale telefoon te onderscheiden van een gecompromitteerde, tenzij men de firmware grondig kan onderzoeken. Het is duidelijk dat niet alle distributeurs zich een adequate firmwarecontrole kunnen veroorloven.

Het kan uiteindelijk simpeler zijn om toch maar gewoon een smartphone te kopen. Dit is natuurlijk afhankelijk van uw budget, en helaas kunnen goedkopere smartphones te maken hebben met vergelijkbare malware-problemen. Maar als u zich er een kunt veroorloven – zelfs een heel eenvoudige – van een grote fabrikant, kan dat een veiligere keuze blijken, vooral als u voor een drukknop kiest omdat u iets eenvoudigs, betrouwbaars en zonder verborgen functies zoekt. U kunt de risico’s op een Android-apparaat beperken met een betrouwbare antivirus-app, en bij featurephones hebt u die optie niet.

Wat oudere familieleden betreft, als zij gewend zijn oproepen te beantwoorden door hun klaptelefoon te openen, is het misschien bijna onmogelijk om zich aan te passen aan een aanraakscherm, maar upgraden is volgens ons het proberen waard. Er zijn tal van ouderen zonder problemen op smartphones overgestapt, en zij kunnen nu heel gelukkig de enorme wereld van mobiel computergebruik ervaren.