"Noord Koreah@ck" onderzoekje en advies

17.04.2023 10.00 - 23.04.2023 13:00 Samenvatting door AI's (experimenteel)

Begin april 2023

Melding:

Goed geinformeerde gebruiker ("contactpersoon") was aan het bellen via mobieltje, met providerabonnement, met relatie toen de verbinding ineens verbroken werd... Vlak erop werd hij gebeld door een +85-nummer, denkende dat het een 085 nummer betreft.  Hij nam het gesprek aan, hoorde verder niets en heeft toen gesprek weggedrukt.....toen is het kennelijk misgegaan?

Opmerking: dit feit was als zodanig compleet nieuw voor mij en leek aanvankelijk discutabel...inbreuk op telefonie(deel) van een Smartphone van buiten en het daarna (automatisch) verzenden vanSMS-berichten via het telefonie(deel) van de Smartphone. Reden voor mij om een en ander nader uit te zoeken.

• duurste (bedrijfs)abonnementsvorm ca. EU 60 - EU 70,= / maand

  • "onbeperkt" bellen

  • "onbeperkt" SMS'en

    • de verstuurde SMS's vallen kennelijk buiten deze (duurste) provider-"bundel"

  • "onbeperkt" datagebruik

Gebeurtenis

• Gewaarschuwd door provider dat bovenmatig gecommuniceerd is: EU 300,= kosten: afwijkend gedrag,

  • waren wel honderd SMS's snel achter elkaar naar +85 xxxx gestuurd (Noord Korea),

  • SMS kost EU 0,30 / SMS; bij elkaar EU 300,= op korte tijd  verbruikt,

• Persoon / Toestel had, volgens provider, contact opgenomen met dat buitenlands nummer. Echter de  klant had dat zeker niet zelf geinitieerd!)

• Hij werd gevraagd dit op papier te zetten en heeft het als 'klacht' ingediend maar het heeft niets opgeleverd,

• Moest  toch betalen, want provider moest ook betalen aan Noord Koreaanse, (tussen)providers.....,

• Advies provider: Smartphone is gehacked: toestel naar fabrieksinstellingen terug te zetten ; wachtwoorden?  <= betekent dus malware of hack. 

• Ondertussen had provider het SMS'en geblokkeerd. Toen de klant zijn nummer wilde her-activeren kon dat alleen via SMS wat dus op dat moment niet lukte. Op de eerstevolgende werkdag SMS open laten zetten waarna alles weer werkte als normaal

1e conclusie

Wat miste ik eigenlijk voor concretere analyse:

1. Voorgeschiedenis, gedrag en kennis en kunde van gebruiker; 'awareness' 

2. Type telefoon, Android versie, updates, beveiligingsinstellingen apparaat en - beveiligingsapps, status

3. Apps die erop staan en net ervoor werden geinstalleerd dd:tt

4. Logs van provider dd:tt; exacte tijdstippen dat een en ander precies heeft plaatsgevonden

5. exacte handeling kip-ei-kip. Eigenlijk zou onderbreken van gesprek, gebeld wordendoor +85 en vervolgens honderden  SMS'sversturen,  niet matchen met de verwachting dat Malware de oorzaak is,,,,

6. Relatie thuisnetwerk status

7. ....

Dit is compleet nieuw voor mij! Gebruiker had alleen maar gesprek aangenomen.....Tot heden kon dat nooit kwaad; sinds kort dus wel.  Zal volgens mij niet door telefoongedeelte zijn binnengekomen; de kans is groter groter via besmetting dmv malware ('virus') in een (malafide) app op het "computer-gedeelte"! Wel vreemd die onderbreking van lopend gesprek en daarna +85 nummer dat hem belt waarna het SMS'en is ontstaan!!! Is dit de trigger??? zie onderin een schermafdruk van eenzelfde geval bij mij zelf)

Acties John

• ik ga dit verder uitzoeken: direct vandaag gedaan: technisch complex!

• geadviseerd om Rechtsbijstand verzekering in te schakelen

• optie: Fraude helpdesk eventueel benaderen en aangifte Politie doen

• indien dit echt iets nieuws is via opnemen +85 telefeoonnummer, dan deze week al mijn relaties ervoor waarschuwen via Facebook / LinkedIn.

Mogelijkheden

die ik verder zal uitdiepen.

1) via "telefoon"-gedeelte van de Smartphone gehacked

2) via "computer"-gedeelte van de Smartphone: "apps"

• a, b, c, d, e, f

3) oude niet meer ondersteunde telefoon?

4) via vrij nieuwe bug (maart 2023) in veel Samsung telefoons met lek in modem-hardware 

5) Cyberwar 2023

2b) Google multiple automatic SMS fraud

• https://www.cm.com/nl-nl/blog/voorkom-fraude-met-jouw-sms-en-voice-accounts/  Feb 13, 2023

  • SMS pumping en Toll Fraud

    • Een gehackt account is niet het enige frauderisico bij conversational commerce; je moet jezelf ook beschermen tegen zogenaamde SMS pumping of Artificially Inflated Traffic (AIT)-fraude en toll fraud waarbij de fraudeur misbruik maakt van jouw website en de verificatiemogelijkheden.

• https://www.geoedge.com/those-unsolicited-sms-subscription-alerts-arent-just-annoying-theyre-fraudulent/ 

  • Yet even in the internet age, these premium SMS subscriptions still exist. But now they’re being exploited by threat actors who have developed ways to automatically sign up users to an SMS subscription service and then pocket the premium SMS charges.

  • In Italy, scammers deploy code through advertising channels like banner ads or numerous catchy video advertisements that don’t seem to have anything to do with a paid SMS subscription, or prompt a user to subscribe to a list. But if and when a user clicks on the ad – whether intentionally or not – the scammers’ code is deployed. 

  • Malicious Android apps and fake apps

    • Threat actors often use a malicious app to scam victims, primarily Android users into signing up for a bogus premium SMS subscription service that leads to big charges on their phone bill. The app’s advertised purpose usually has nothing to do with the SMS subscription, and therefore the scam apps often make it into official app stores like Google Play Store. The malicious apps’ advertised features include things like custom keyboards, QR code scanners, photo editors and camera filters, spam call blockers, spam protection, games, and more.

  • The same fake app often has thousands of downloads in the Google Play Store, making it look legit to victims. That’s why it’s always important to do research on new apps. If they have numerous negative reviews in the Play Store, or make it difficult to access basic developer profiles, it’s probably better to stay away, even if they appear as the first apps in a category. You definitely don’t want to provide personal or like your phone number without reading the fine print. 

KPN

• https://forum.kpn.com/mobiel-15/sms-kosten-naar-buitenland-maar-zelf-niks-verstuurd-558950  Sms kosten naar buitenland, maar zelf niks verstuurd | KPN Community 1 jaar geleden  <-----kan dit wel zijn? - 2 -

• https://forum.kpn.com/facturen-en-administratie-125/mobiele-factuur-ineens-180-euro-duurder-door-telefoontje-met-korea-wat-te-doen-573012  Mobiele factuur ineens 180 euro duurder door telefoontje met Korea? Wat te doen? | KPN Community 7 maanden gelden: bellen   NVT

• https://forum.kpn.com/mobiel-15/vreemd-sms-gebruik-516920  vreemd sms-gebruik | KPN Community 2 jaar geleden   <-----kan dit wel zijn?  - 1 -

  • Heel bijzonder dat jij ineens een hoge rekening krijgt voor het versturen van sms’jes naar het buitenland, terwijl jij dit verbruik niet zelf herkent. Zoals @GeSp aangeeft, kan dit veroorzaakt worden door een app die op de achtergrond sms’jes verstuurd vanaf jouw telefoonnummer zonder dat jij dit door hebt. Ik raad je daarom aan om te controleren welke apps jij hebt geïnstalleerd rond de tijd dat de hoge kosten zijn ontstaan. Daarnaast raad ik je aan om jouw telefoon op malware te controleren. Je kunt hiervoor Malware Bytes gebruiken.

  • Ik wil ook graag een kijkje achter de schermen nemen. Zou je je profiel hier op het forum willen aanvullen met jouw 06-nummer? Je kunt deze plaatsen onder ‘persoonlijke opmerkingen’. De gegevens in jouw profiel zijn alleen zichtbaar voor jou en de moderators van KPN. Geef je een seintje als je jouw profiel hebt ingevuld? Ik wacht je reactie af.

• https://forum.kpn.com/mobiel-15/deze-maand-ineens-veel-mobiele-data-gebruikt-573584 november 2022 Data misbruik NVT

BRONNEN

Diverse Providers bekijken

• ...  Vodafone, Ziggo... enkele logs / fora bekeken: vergelijkbaar met KPN NVT

Overheid

• https://www.fraudehelpdesk.nl/alert/gevaarlijke-berichten-via-messenger/  Frauduleueze SMS links...NVT

AV-providers: McAfee, Avira...

• Avira’s Cyber Threat Report: Latest Trends and Emerging Threats 23 March 2023   <= mooi rapport o.a. SMS fraud

Overige Security nieuwsbronnen

• https://thehackernews.com/ 

• ....

2c) Fluebot NVT

• Takedown of SMS-based FluBot spyware infecting Android phones | Europol - Here is how FluBot worked 

  • An international law enforcement operation involving 11 countries has resulted in the takedown of one of the fastest-spreading mobile malware to date. Known as FluBot, this Android malware has been spreading aggressively through SMS, stealing passwords, online banking details and other sensitive information from infected smartphones across the world. Its infrastructure was successfully disrupted earlier in May by the Dutch Police (Politie), rendering this strain of malware inactive. 

  • This strain of malware was able to spread like wildfire due to its ability to access an infected smartphone’s contacts.

• https://forum.kpn.com/online-veiligheid-25/flubot-malware-op-android-toestellen-track-en-trace-sms-541149 Flubot malware op Android toestellen (track en trace sms) | KPN Community. Je kunt ineens niet meer bellen/SMS’en/internetten. Je ontvangt rare SMS'jes van mensen die je niet kent, waar in staat dat je hén berichten zou hebben gestuurd, maar je weet nergens van NVT

• https://hacked.com/new-flubot-virus-sweeping-the-world-hits-norway/  NVT

• Valse voicemail-app van 'Ziggo' bevat schadelijke Android-malware 'FluBot' Alert  22-11-2021 Opgelicht Avro/TROS

  • De schadelijke FluBot-malware die voor bezitters van een Android-telefoon een grote bedreiging vormt, is opgedoken in de vorm van een valse voicemail-app van 'Ziggo'. Via sms'jes – die overigens automatisch worden verzonden door geïnfecteerde toestellen – hopen oplichters potentiële slachtoffers ertoe te bewegen om deze app te installeren. Al is dat om talloze redenen een buitengewoon slecht idee.

  • De malware heeft als één van de talloze vervelende eigenschappen namelijk dat geïnfecteerde toestellen zonder tussenkomst van de rechtmatige eigenaar sms'jes met daarin links naar deze malware naar anderen kunnen verzenden, en dan gaat het doorgaans vrij snel. Het telefoonnummer van wie jij een dergelijke sms krijgt, is dan ook niet zozeer van een oplichter, maar van een willekeurig geïnfecteerd toestel.

• KPN waarschuwt klanten: 'Controleer je telefoonrekening wegens nieuwe Android-malware' Alert  20-05-2021

• Android telefoons besmet met flubot: wat is het en wat moet je doen? 9 maart 2023 

  • Hoe moet je Flubot malware verwijderen van je telefoon?

    • Opnieuw opstarten in de veilige modus

    • Je telefoon terugzetten naar fabrieksinstellingen

AV-scanner? 

• Ook zonder virusscanner op Android goed beveiligd

Dat een virusscanner handig is, weet je nu. Het helpt goed bij het herkennen van malware en spyware. Toch is het geen absolute noodzaak voor je Android telefoon. Google controleert apps namelijk zelf al grondig en dat is al heel betrouwbaar.

• Heb je een virusscanner nodig voor Android?  18.11.2021

• Malware Bytes Android?  <-KPN Forum advies. Ik gebruikte die al jaren als second opinion scanner op mijn PC's

ad 3) Oude niet meer (security) ondersteunde telefoon?

• https://www.which.co.uk/reviews/mobile-phones/article/mobile-phone-security-is-it-safe-to-use-an-old-phone-a6uXf1w6PvEN 

• android versies internet bankieren

zie Google

ad 4) Kan Android gehackt worden?   *** NIEUW van TV! *** zeer gevaarlijk

Verschillende populaire smartphones van Samsung en Vivo kunnen kinderlijk eenvoudig worden gehackt door kwaadwillenden, zo waarschuwt Google. In meerdere modellen zit een zogenaamd Exynos-modem: daarin zitten verschillende kwetsbaarheden waardoor hackers ongemerkt je telefoon kunnen binnendringen.17 mrt 2023

• VS waarschuwt voor actief aangevallen kwetsbaarheid in Samsung-telefoons - De Amerikaanse overheid waarschuwt voor een actief aangevallen kwetsbaarheid in telefoons van Samsung waardoor een aanvaller die al toegang tot het toestel heeft, of een malafide app, de ASLR-beveiliging kan omzeilen. Samsung kwam begin deze maand met ...22.05.2023

• Google: "Miljoenen Samsung-telefoons kunnen eenvoudig worden gehackt" 17-03-2023 BNNVara - Kassa

• ...Google

Vier van deze kwetsbaarheden zijn door onderzoekers bestempeld als zó ernstig dat aanvallers ze kunnen misbruiken om op afstand code uit te voeren. Daar is geen interactie van de telefoonbezitter voor nodig, de aanvaller heeft alléén jouw telefoonnummer nodig. Je merkt het waarschijnlijk niet eens, en juist dat maakt het zo gevaarlijk. 

Hieronder kunnen we in ieder geval wél noemen welke populaire telefoons kwetsbaar zijn.

Deze Samsung-telefoons zijn kwetsbaar:

• Verschillende telefoons van Samsung kunnen via het beveiligingslek worden gehackt. Google noemt in ieder geval toestellen in de volgende series: S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 en A04.

Hoe kun je jezelf beschermen en valt er iets te doen? WORK-AROUND totdat definitieve oplossing

• Ja, je kunt alvast wat maatregelen nemen, óók als jouw fabrikant nog geen maatregelen heeft genomen. Je moet de functies Voice-over-LTE én Voice over wifi (bellen via wifi) uitschakelen, daarmee voorkom je dat de kwetsbaarheden kunnen worden misbruikt. Je kunt je telefoon ook gewoon blijven gebruiken, en je kunt gewoon gebeld worden.

  • Bellen via 4G (VoLTE) | Samsung Galaxy S21 - T-Mobile 

  • Turn on Wi-Fi Calling on Galaxy phones - Samsung 

• 30.04.2023: Defintieve oplossing Samsung fixes Wi-Fi calling vulnerabilities affecting recent Galaxy phones By March 28, 2023

• The fixes were rolled out as part of the March security update. Eerst de 2 work-arounds terug gezet

  • Voorbeeld update: Niveau beveiligingsupdate 1 maart 2023 163,08 MB versie: A..5FXXU2CWC3....

Advies (expert)

1. In Veilige modus malware verwijderen (EXPERT): triggy

2. Malware Bytes laten controleren en evt opnieuw app(s) verwijderen (EXPERT) heb ik getest: OK

Provider adviseerde consument:

3. Factory settings.... zoals door provider is aangegeven; is reeds gebeurd < dit werkt altijd

Advies van mij; denk ook aan:

4. Restore van eerdere (onbesmette!) back-up. Als de Back-up besmet is met de malware dan kom je weer in de frauduleuze situatie etc. etc. Mogelijk worden ook derden uit de contactenlijst ge-SMS'sd en besmet etc. etc

5. Alle aanwezige apps checken; mbv Malware Bytes apps scannen op malware om te voorkomen dat probleem opnieuw optreedt

6. .....................

In aller ergste geval, zag ik bij 1 persoon (maar dat geloof ik niet 123) zelfs het advies:

7. Nieuw nummer / SIM in uiterste geval voor sommige besmettingen als die niet wegbleven met eerdere acties; stond ook ergens in een van de provider logs

Definitieve conclusie 

op grond van (beperkt) beschikbare gegevens en ontwikkelingen van actuele bedreigingen denk ik dat besmetting door malware van een Android -app naar alle waarschijnlijkheid de grootste kans is geweest. Die kan op verschillend manieren hebben plaatsgevonden (aanklikken link in mail / op het web / in een SMS-bericht. Vervolgens is daarop een vreemde malafide app met verborgen SMS gedownloaded) ->  telefoon "gehacked" en SMS-en zijn verstuurd

bijv. Flubot malware op Android toestellen (track en trace sms) | KPN Community  lijkt er wel op; zie meldingen (2021)

De kans op inbreuk via het bel / sms mechanisme buiten de apps om lijkt me niet tekunnen, tenzij... Hiervan ben ik verder ook niet op de hoogte.....

Update 31.05.2023