Googles Project Zero: surveillancebedrijf maakte misbruik van Samsung-kwetsbaarheden

Kevin Krikhaar 12 november 2022 17:28

Het Project Zero-team van Google heeft drie zero-day-kwetsbaarheden gevonden in Samsung-telefoons waar een commercieel surveillancebedrijf misbruik van maakte. De beveiligingskwetsbaarheden werden samen gebruikt als exploitketen, om mogelijk spyware te kunnen leveren. Het team ontdekte de kwetsbaarheden in Samsung-apparaten met de Exynox-chip. Toestellen met die soc worden vooral in Europa, het Midden-Oosten en Afrika verkocht.

Het digitale-opsporingsteam kwam eind 2020 op het spoor van de exploitketen en heeft toentertijd Samsung ingelicht. De hardwarefabrikant dichtte de kwetsbaarheden in een patch in maart 2021. Het Project Zero-team raadt iedere Samsung-gebruiker aan om voor de zekerheid na te gaan of diens telefoon runt op SMR Mar-2021 of een latere versie.

De kwetsbaarheden konden worden uitgebuit door middel van een Android-app. Hierin zat een kwaadaardige payload, die de veilige omgeving van de app kon 'verlaten' en zo toegang kreeg tot de kernel zelf. Het is het Project Zero-team niet duidelijk om welke app het precies gaat. De kwetsbaarheden werden ontdekt in de testfases van de exploits. Het is dus eveneens onduidelijk wat de spyware die van deze exploitketen gebruik moest maken precies zou doen.

De kwetsbaarheid werd gevonden in een Samsung Galaxy S10 (foto), A50 en A51