Basado en la tecnología SIM toolkit (STK), que apareció originalmente en la era pre-smartphone y es utilizada por algunas operadoras móviles para suministrarles informaciones y servicios a los suscriptores por medio de una comunicación directa con la tarjeta SIM, el ataque Simjacker les permite a los hackers rastrear la localización de los usuarios, realizar ataques de negación de servicio (DDoS) y actividades fraudulentas por medio de llamadas y SMSs no solicitados para servicios de tarifa premium – sin el consentimiento del suscriptor.

Descubierto en el 2014 por Positive Technologies, compañía global de seguridad cibernética, Simjacker ya fue utilizado contra individuos y empresas de telecomunicaciones por medio de llamadas fraudulentas, fuga de informaciones y espionaje. “Como la vulnerabilidad está vinculada a una tecnología incorporada en las tarjetas SIM y no a un dispositivo específico, ella puede afectar a todos los smartphones que usan una tarjeta SIM, independientemente de la marca o modelo”, explica Giovani Henrique, director general de la empresa para América Latina.

Según Positive Technologies, el ataque se deriva de la tecnología S@T Browser (que significa SIMalliance Toolbox Browser), utilizada para navegar en una tarjeta SIM, pero que también puede ser usada para funciones como abrir un navegador, configurar llamadas y tocar un ringtone. Al usar Simjacker, el hacker puede instruirle al dispositivo a abrir sitios maliciosos para infectar el aparato con malwares por medio de los comandos enviados por SMS para la tarjeta SIM.

Los usuarios y organizaciones comerciales, no obstante, no son capaces de proteger sus aparatos contra Simjacker solos. “La gran mayoría de las operadoras móviles suministra tarjetas SIM con STK preinstalado. Y no es posible desactivar el STK en el propio dispositivo móvil”, explica Henrique.

Para el ejecutivo, es necesario alertar a las organizaciones a solicitar tarjetas SIM sin el kit de herramientas instalado. Además de esto, las operadoras móviles deben configurar su infraestructura para bloquear SMSs que poseen las características de codificación de contenido de los mensajes STK. “Este es solamente el primer paso. Para una seguridad absoluta, es necesario monitorear continuamente la seguridad de las rutas SS7 y SMPP por medio de herramientas IDS (Intrusion Detection System) para detectar y bloquear actividades ilícitas así que aparezcan”, destaca.

Para interrumpir los ataques de Simjacker, Positive Technologies listó tres grupos de acciones/configuraciones que las operadoras móviles pueden realizar:

• Centros de SMS (SMSC, en su sigla en inglés) que tratan con el tráfico de mensajes de suscriptores de las operadoras. Los usuarios pueden intercambiar mensajes SMS entre si mismos y con servidores de aplicaciones. Los mensajes con codificación STK de suscriptores deben ir solamente para la plataforma MNO – y no para otros suscriptores;

• Centros de SMS a los cuales los proveedores de contenido colaboradores están conectados vía SMPP y SS7. Los proveedores de contenido envían texto en forma de mensajes A2P. Este tráfico no debe contener mensajes con codificación STK. MNO debe ser capaz de detectar este tipo de información en la interfaz de SMS.

• Hosts de SMS Home Routing para tráfico de SMS recibido para suscriptores domésticos de conexiones externas. Si un host externo envía un SMS con codificación STK para suscriptores domésticos, es considerada una actividad ilegítima y que debe ser interrumpida.