L’attacco zero-day di Cellebrite su Android
Amnesty International ha recentemente portato alla luce un sofisticato attacco informatico in Serbia, dove le autorità hanno utilizzato una catena di exploit zero-day sviluppata da Cellebrite per sbloccare il telefono Android di un giovane attivista studente. Questo incidente, avvenuto il 25 dicembre 2024, ha sfruttato vulnerabilità nei driver USB del kernel Linux per aggirare le protezioni del blocco schermo su un dispositivo Samsung Galaxy A32.
Dettagli dell’attacco
L’analisi forense condotta da Amnesty International ha rivelato che la catena di exploit ha abusato di peculiarità dei driver USB legacy per ottenere accesso root, consentendo l’estrazione di dati e il tentativo di installazione di strumenti di sorveglianza. Questo caso mette in luce l’uso improprio sistemico degli strumenti di forensica digitale contro la società civile e evidenzia lacune critiche nella difesa di Android contro gli attacchi con accesso fisico.
La catena di exploit
L’attacco ha impiegato una sequenza intricata di dispositivi USB emulati per innescare vulnerabilità di corruzione della memoria nel kernel Linux. I log forensi mostrano che le autorità hanno collegato molteplici periferiche malevole tramite l’adattatore Turbo Link di Cellebrite, tra cui:
- Una webcam UVC Chicony CNF7129 (VID:0x04f2) che sfrutta CVE-2024-53104, una scrittura fuori dai limiti nel quirk di restrizione del frame rate del driver USB Video Class.
- Un Creative Extigy SoundBlaster (VID:0x041e) che sfrutta CVE-2024-53197, che ha permesso la corruzione del descrittore durante l’inizializzazione della scheda audio ALSA.
- Un Anton Touch Pad (VID:0x1130) che sfrutta CVE-2024-50302 per far trapelare memoria del kernel non inizializzata tramite report HID.
Impatto e implicazioni
La portata di questo attacco è vasta, potenzialmente influenzando miliardi di dispositivi Android. Le vulnerabilità sfruttate risiedono nei driver USB del kernel Linux, ampiamente utilizzati nell’ecosistema Android. Questo solleva serie preoccupazioni sulla sicurezza dei dispositivi Android contro attacchi con accesso fisico.
Risposta di Google e patch
In seguito alla divulgazione di Amnesty International, Google ha rapidamente agito per mitigare queste vulnerabilità:
- CVE-2024-53104 è stata corretta nel bollettino di sicurezza Android di febbraio 2025.
- CVE-2024-53197 e CVE-2024-50302 sono state corrette nel kernel Linux upstream, ma devono ancora essere incluse in un bollettino di sicurezza Android.
Consigli per la sicurezza
Alla luce di queste rivelazioni, è cruciale che gli utenti Android prendano precauzioni per proteggere i loro dispositivi:
- Aggiornamenti regolari: Assicuratevi di installare sempre gli ultimi aggiornamenti di sicurezza non appena disponibili.
- Cautela con le connessioni USB: Evitate di collegare il vostro dispositivo a porte USB non attendibili o di utilizzare cavi USB sconosciuti.
- Disabilitare il debug USB: Mantenete il debug USB disattivato quando non necessario per lo sviluppo.
- Utilizzare la crittografia del dispositivo: Attivate la crittografia completa del dispositivo per una protezione aggiuntiva dei dati.
- PIN complessi: Utilizzate PIN lunghi e complessi invece di pattern o impronte digitali per il blocco schermo.
- Limitare l’accesso fisico: Evitate di lasciare il vostro dispositivo incustodito in luoghi pubblici o di consegnarlo a persone non fidate.
- Monitorare le app installate: Controllate regolarmente le app installate per individuare software sospetti.
- Utilizzare soluzioni di sicurezza mobile: Considerate l’uso di app antivirus e di sicurezza affidabili per una protezione aggiuntiva.
Il ruolo controverso di Cellebrite
Cellebrite, un’azienda israeliana di forensica digitale, è nota per lo sviluppo di strumenti utilizzati dalle forze dell’ordine, agenzie di intelligence e aziende private per estrarre dati da smartphone e altri dispositivi digitali. L’uso dei loro strumenti ha sollevato preoccupazioni etiche e allarmi sulla privacy, specialmente quando utilizzati per sorveglianza, molestie e targeting di informatori, giornalisti e attivisti.
Implicazioni più ampie
Questo incidente solleva questioni importanti sulla sicurezza dei dispositivi mobili e sul bilanciamento tra le necessità delle forze dell’ordine e i diritti alla privacy dei cittadini. Evidenzia anche la necessità di una maggiore trasparenza e responsabilità nell’uso di strumenti forensi digitali da parte delle autorità.
L’incidente in Serbia sottolinea l’urgente necessità di rafforzare le difese di Android contro le minacce provenienti da connessioni USB non attendibili. I produttori di dispositivi Android devono prioritizzare lo sviluppo di funzionalità di sicurezza difensive più robuste per mitigare questi rischi.
Inoltre, questo caso evidenzia l’importanza della collaborazione tra ricercatori di sicurezza, organizzazioni per i diritti umani e aziende tecnologiche per identificare e correggere rapidamente le vulnerabilità che potrebbero essere sfruttate per violare i diritti umani e la privacy.
In conclusione, mentre la tecnologia continua ad evolversi, è fondamentale mantenere un equilibrio tra innovazione, sicurezza e rispetto dei diritti individuali. Gli utenti, i produttori di dispositivi e le autorità devono lavorare insieme per creare un ecosistema digitale più sicuro e rispettoso della privacy.
Fonte: https://cybersecuritynews.com/android-phone-cellebrites-usb-zero-day
