3 maart 2014 15:10

Goedkope Android-telefoons bedreigen bedrijfsnetwerken

In Android worden regelmatig beveiligingslekken gevonden. Helaas krijgen heel wat telefoons slechts laat updates van het mobiele besturingssysteem, wat grote risico's op uw bedrijfsnetwerk introduceert.

Een beveiligingslek in Android dat al sinds 2012 bekend was, blijkt nu heel wat ernstiger te zijn dan men eerst dacht, vooral in goedkope telefoons. De kwetsbaarheid in de WebView-klasse van Android-versies lager dan 4.2 kon enkel misbruikt worden als de aanvaller een man-in-the-middle (MITM) aanval gebruikte, dacht men. Beveiligingsleverancier Rapid 7 ontdekte een eenvoudiger exploit.

Onderzoeker Joe Vennix van Rapid 7 ontdekte dat het lek te misbruiken is door op een link in een sms-bericht te klikken, waardoor de gebruiker naar een kwaadaardige website doorgestuurd wordt. De aanvaller downloadt dan op de achtergrond JavaScript-code die het lek uitbuit. Malware nestelt zich dan in de telefoon en kan de inhoud van de geheugenkaart lezen, GPS-informatie opvolgen, het adresboek stelen enzovoort.

Verban oude smartphones van het netwerk

Rapid 7 heeft een exploit voor het lek in Metasploit opgenomen, de pentestingsoftware van het bedrijf. Als uw werknemers toegang verkrijgen tot uw bedrijfsnetwerk met telefoons die nog Android-versies lager dan 4.2 draaien, moet u dus erg voorzichtig zijn. Volgens Tod Beardsley, engineering manager bij Rapid 7, zijn vooral goedkope Android-telefoons met een prijs onder de 150 dollar kwetsbaar: “We krijgen het meeste succes met onze exploit op de goedkopere telefoons.”

Nog ongeveer de helft van de Android-telefoons draait een te oude versie van Android. Updates zijn vaak problematisch, omdat de producenten en telecomprovider daarmee traag zijn. Rapid 7 raadt bedrijven dan ook aan om telefoons met Android-versies lager dan 4.2 te verbannen van het bedrijfsnetwerk.

In samenwerking met CIO.com.

Op dinsdag 13/3 organiseert ZDNet en Smart Business een gratis seminarie over Bring Your Own Device en Mobile Security in het teken van onze populaire Business Meets IT-seminariereeks. Meer informatie over het mobile business seminarie vindt u op de website van Business Meets IT.