Onderzoekers kapen tan-code met Nokia 1100

Spanned verhaal om te lezen, echter op het einde wordt gesteld dat er ook een gecloonde simkaart nodig is, wordt hiermee de simkaart bedoeld van het nummer dat wordt gespoofd? Wanneer je een gecloonde simkaart hebt is dat dan niet al voldoende en heb je de hele hack niet nodig?

Ah de Nokia 1100-hype ... Marktplaats, eBay, etc.: goude tijden breken aan. Misschien eens een enquete plaatsen door welk mobieltje een speculerende Nokia 1100-bezitter het toestel gaat vervangen, Webwereld?

Wie de eerste mobiele Nokia 1100-scanner ontwerpt kan nu ook schatrijk worden!

En ... wanneer wordt het gebruik van een Nokia 1100-toestel (of daarop gelijkend) verboden? Hoe gaat het vervolgingsbeleid eruit zien?

Wat ik alleen niet snap is waarom dan de Nokia 1100 zo in trek is en veel voor wordt betaald. Als het met een Nokia 1100 kan, kan het met alle toestellen (theoretisch). Dus waarom niet met een nieuwe HTC rom, e.d.
Of desnoods een eigen telefoon maken.

Maar de inloggegevens hadden we ook elders op het web makkelijk kunnen kopen", aldus Frank Engelsman van Ultrascan tegen Webwereld

Dan heeft die medewerker van Ultrascan dus ook een trojan op z'n pc (gehad) als dat waar is ... :S

Met een gekaapt mobiel telefoonnummer in combinatie met inlog/wachtwoord voor de internetbankierenomgeving, zouden hackers rekeningen kunnen leegkapen.
a. Er worden helemaal niet extreem hoge prijzen (op Marktplaats) gevraagd voor de N1100, slechts 25 Euro tot 75 Euro. Natuurlijk zijn er een paar grappenmakers die 750 vragen, maar natuurlijk niet krijgen.

b. Het verhaal verteld niet hoe de provider reageert op twee dezelfde simkaarten op twee verschillende locaties in actie...

c. Je moet dus een 1100 hebben (OK 25,=) dan moet je combi EMEI nummer en telnr hebben, dan nog moet je de inlog + ww hebben van een gebruiker die bij een bank zit die TAN per sms gebruikt.

Bij het proefkonijn waren al die gegevens bekend, maar hoe het een crimineel zou lukken al deze info bij elkaar te grabbelen en dan ook nog eens niet de pech hebben dat het een bankrek van een tiener is die Euro 4,67 heeft staan.

Vooralsnog een broodje aap. Maar ja Ultrascan met wat was het ? 60 Kantoren wereldwijd, 3300 'agenten', kantoren in Londen, Parijs en NL..... zou voor Politie werken (twee wekelijks overleg) en Justitie..... alleen niemand kent bij Politie of Justitie die klup en er zou niet eens een KvK inschrijving zijn.

Google maar een op "Ultrascan + Engelsman" en lees eens wat verder dan de eerste regels.

Vervolgens is een infiltrant in Marokko bij een Russisch-Marokkaanse criminele organisatie gaan kijken hoe de 1100 geprogrammeerd moet worden.

Dan gaan ze wel erg ver om een theorie te testen. Wat is de volgende stap, in zee met de Maffia?

Mobiele TAN systeem van de postbank is gewoon altijd al een slecht en onveilig idee geweest.
word dan wel hele makkelijk gemaakt voor dieven. Je hebt alleen maar login naam nodig en vervolgen s mobiel van eigenaar stelen.
EN wat als iemand zijn mobiel kwijt raakt ?

Stel je de vraag waarom zou je een nokia telefoon nodig hebben. In china maken ze genoeg telefoons en waarom zou je dar niet zelf een imei code kunnen laten instellen of wijzigen.

....waarmee je onder meer bij de ING Bank...
Vanaf het moment dat die bank met tancodes werkt heet ze gewoon ING (zonder bank)

Jaja, dus je moet eerst de inloggegevens hebben en dan moet je ook nog weten welk telefoonnummer er aan hangt.
Stel dat ze mijn account hacken, ik doe het nog steeds met het papier, knappe jongens dan, alle moeite voor niks.

Volgens mij klopt hier helemaal niets van. Een SIM klonen is inderdaad relatief eenvoudig. Maar dan moet je wel fysieke toegang hebben tot de simkaart. Er is geen mogelijkheid om op afstand de authenticatie sleutel van een SIM te achterhalen.

Dus deze aanval kan niet zomaar op afstand uitgevoerd worden voor een willekeurige inlognaam/wachtwoord/telefoonnummer-imei-imsi combinatie.

Kan Ernst-Jan Hamel misschien even komen verklaren waarom hij de verhaaltjes van Ultrascan zo graag als de waarheid neer wenst te zetten zonder dat hij, en kennelijk de rest van de hele beveiligingswereld, maar iets aan bewijs heeft gezien? Ik meen me te herinneren dat je als journalist toch minimaal moet zorgen dat je kan bewijzen dat je de waarheid naar je lezers slingert. Ik mis dat geheel. Het waren de personen achter Ultrascan die de bewering deden dat er wat mis zou zijn, vervolgens kwamen er toen pas grapjassen die veel boden, gevolgd door een verhaaltje van wederom de personen achter ultrascan dat ze gelijk zouden hebben. Al die tijd geen spoor van bewijs, geen enkel serieus geluid uit de wereld van beveiliging, geen enkele aanwijzing dat ultrascan geloofwaardig zou zijn. Laten we op webwereld dan vooral lekker verhaaltjes schrijven alsof er bewijs is. Ik wil de personen achter ultrascan best geloven, maar niet voordat ze met meer komen dan grootspraak over hun omvang, babbels over infiltreren in oplichtingsbendes in het buitenland en zichzelf verder alleen maar omhoog praten in plaats van zich te bewijzen.

Tsja,

Ik tweet me suf op Twitter, maar dit is toch echt een reloaded HOAX. Voor het ontvangen van SMS-berichten zal je wel aangemeld moeten zijn op een GSM netwerk. Als je met een 2de telefoon wilt aanmelden zal je toch altijd eerst de SIM-kaart van de bankrekeninghouder moeten klonen en dit is NIET mogelijk. In de begin jaren van GSM werd voor het versleutelen van de Ki code 128COMP-V1 als algoritme gebruikt, deze bleek relatief eenvoudig te regenereren en was het mogelijk de Ki code te achterhalen. Sinds 2001 wordt betere encryptie gebruikt in versie 2 en inmiddels wordt zelfs 128COMP-V3 gebruikt.

Dit verhaal kan alleen opgaan als de bankrekeninghouder een duokaart heeft die door crimineel gestolen is. Tot voor kort moest dan één van je toestellen uitstaan maar met de nieuwe generatie duokaarten is ook dat niet meer nodig. Bewaak je duo SIM-kaart dus goed en wees alert op TAN-codes die ongevraagd op je GSM verschijnen!

Huub Roem

Anoniem bellen en SMS'n is mogelijk maar dit is moeilijker. Ik heb eens rond gebrowsed en ik vermoed dat criminelen dit doen met de militaire uitvoering van de duitse IMSI catcher, en wel om te beginnen vanuit dezelfde cel als de orginele telefoon. Zo'n opzet past ook meer bij de meldingen van duitse postbank klanten in het afgelopen jaar.

Ultrascan was also able to confirm that criminals are willing to pay a lot of money for the right Nokia 1100. An Ultrascan informant sold one of the devices recently in Tangiers, Morocco, for €5,500 (US$7,567), Engelsman said. Ultrascan previously confirmed data earlier this year that one Nokia 1100 sold for €25,000.
Ha, ha, ha wat een charlatan !

http://www.courriercasablanca.com/insolite/un-telephone-semble-avoir-plusieurs-dons.html

Gratis TV kijken, snelheidsmetingen met radar verstoren en ook al auto's mee openen :)
Nou, nou knap van Nokia hoor.

En lees vooral ook even dit voor je geld uitgeeft aan die N1100: http://www.portablegear.nl/nieuws/1/64/9546/Nokia_1100_eerder_broodje_aap_dan_goudmijn.htm

Haha het is idd echt klinkklare onzin.. wat een pruts bedrijf dat ultra scan. Ik werk al jaar of 7 met mobiele telefoons (unlocken / firmware modding etc) and zoals anderen hier al zeggen compv1 kon gekloond worden (over algemeen sims voor het jaar 2000) maar daarna toch echt niet meer. En als je dan een ouwe sim hebt gekloond hoef je echt niet meer de firmware aan te passen.

Zo werkt een gekloonde sim als je ze beide in een telefoon hebt (zelf uitgetest jaartje of 6 geleden):
De telefoon worden om de beurt van het netwerk gekicked. Als je het nummer belt gebeurt het soms dat je direct voicemail krijgt (dan zijn ze tijdelijk allebei van het netwerk) en anders gaat de tel over die op dat moment op het netwerk zit. Gesprek zal nooit lang duren want je wordt er direct weer afgekicked..

Als je een sms stuurt is het hetzelfde idee, sms gaat naar de telefoon die op dat moment verbinding heeft met het netwerk.

Tevens als je hier teveel mee speelt krijg je een telefoontje van je netwerk (dag later) met de vraag waar je in godsnaam mee bezig bent.

Ik heb ook wel al eens zo'n IMSI catcher gezien op het internet (officieel bedrijf die zo ding verkocht voor veel geld, over de ton als ik me goed herinner). Wellicht dat criminelen daar wel iets mee kunnen als ze zo'n ding hebben heb er nooit 1 uitgetest dus dat weet ik niet.

Dit lijkt me de meest nutteloze hack ooit. Want een TAN-code is maar éen keer bruikbaar en wordt pas verzonden op het moment dat de gebruiker 'm nodig heeft. Dus van alle mogelijke TAN-codes weet je dat degene die jij net hebt onderschept niet meer bruikbaar is. Way to go, haxor.

okay, hier even hoe het echt moet:
1.Koop een Nokia 1100 voor € 75,- op marktplaats;
2.Infiltreer in het criminele circuit, ehm.. naja, gewoon keertje steen door de ruit gooien en de gevangenis bezoeken;
3.Vraag of je in de gevangenis ff mag internetten;
4.Surf naar: www.marktplaats.nl;
5.Biedt je telefoon te koop aan voor € 150,-, alszijnde een gehackte telefoon waarmee je TAN codes kunt onderscheppen;
6.Maak contact met het naieve persoontje welke dit gelooft en verkoop je telefoon aan hem;
7.Controleer je winst na verkoop...

Naast de al genoemde onwaarschijnlijkheden en onjuistheden staat er nog 1 onjuistheid in het artikel. Het doet voorkomen dat je die beroemde '1100 moet herprogrammeren voor het veranderen van IMEI en IMSI. IMEI dat klopt, dat staat op het toestel. IMSI klopt niet, dat is het netwerkadres van je SIM kaart en staat op de SIM kaart, NIET op het toestel.

Ik neem aan dat de Postbank op MSISDN (06-nummer) haar sms routeert en niet op IMSI, maar de telecom provider routeert op IMSI. Maar goed, om het IMSI te klonen zul je bij de SIM kaart moeten zijn. En gezien ervaringen met gekloonde NMT telefoons in het verleden, zullen de providers wel kien zijn op gekloonde gegevens.

De enige manier met een 1100 ING rekeningen leeg te plunderen is de bank binnenlopen en bluffen dat je via je 1100 in contact staat met een handlanger die een bus vol forenzen heeft gegijzeld. Iedere minuut dat ze geen geld geven zal er eentje worden doodgeschoten.
Het zal misschien niet elke keer succesvol eindigen, maar je hebt een veel grotere kans op slagen dan het TAN code verhaal.

Wel slecht dat Webwereld zijn eigen forum niet leest en daardoor tenminste poogt om eerst harde bewijzen te zien voordat ze achter twijfelachtige claims gaat staan. Maarja, die kerel van Ultrascan is tenslotte een goede oplichter en goede oplichters weten iedereen wel ergens mee te strikken.