Israëlische beveiligings-experts waarschuwen voor een truc waarbij kapotte displays vervangen kunnen worden door gemanipuleerde schermen. Via een chip in het nieuwe scherm kunnen hackers meekijken op het toestel en bijvoorbeeld wachtwoorden ontfutselen. De methode wordt ook wel een chip-in-the-middle-aanval genoemd.
De onderzoekers schrijven in een rapport dat er grote beveiligingsrisico’s kleven aan het vervangen van een smartphone of tabletscherm. Bij een zogenoemde chip-in-the-middle- aanval wordt ergens in de tablet of smartphone een chip geplaatst en wordt deze gebruikt om het apparaat te hacken.
In het geval van het manipuleren van het display gebruikten de Israëlische onderzoekers de Arduino Atmega328 en de STM32L432 microcontroller. Met hete lucht maakten ze de schermcontroller los van de hoofdmontageborden, vervolgens soldeerden ze twee chips aan de koperen elementen op de printplaat.
Via de chip wisten ze bijvoorbeeld informatie van het aanraakscherm te bekijken, foto’s van de gebruiker te maken en te versturen via mail en de gebruiker naar phishing websites te leiden en apps te installeren. Ook werden zwakheden van het besturingssysteem gebruikt.
Huawei en LG
Het onderzoek is uitgevoerd met een Huawei Nexus 6P en LG G Pad 7.0. Volgens de onderzoekers is uitgebreid onderzoek met apparaten van meerdere leveranciers nodig om te kunnen stellen of die apparatuur ook een risico vormt bij een kapot scherm. Hoewel in de testopstelling de manipulatie duidelijk zichtbaar is, denken de onderzoekers dat indringen via schermen die vooraf geprepareerd zijn, mogelijk is en hackers manieren kunnen vinden om zonder medeweten van gebruikers een apparaat te manipuleren.
‘Een reparatiebedrijf zou bijvoorbeeld ongemerkt een partij gemanipuleerde schermen kunnen inkopen. Of herstellers gaan bewust met de chips aan de slag’, aldus de onderzoekers.
Doordat er geen bestanden op het toestel worden gezet, wordt de manipulatie niet opgemerkt door anti-virus software. Het is niet bekend of deze methode van chip-in-the-middle in de praktijk al heeft plaatsgevonden.
