Damián Digital

Misteriosos bug fueron usados para hackear iPhones y teléfonos Android

Google encontró al menos siete errores críticos que están siendo explotados por los hackers en la naturaleza. Pero después de revelarlos hace días, la compañía aún no ha revelado detalles clave sobre quién los usó y contra quién.

La semana pasada, los equipos de élite de cazadores de bugs y malware de Google encontraron y revelaron una oleada de vulnerabilidades de alto impacto en Chrome, Android, Windows e iOS. El gigante de Internet también dijo que estas diversas vulnerabilidades fueron «explotadas activamente en la naturaleza». En otras palabras, los hackers estaban usando estos bichos para hackear a la gente, lo cual es preocupante.

Lo que es más, todas estas vulnerabilidades están de alguna manera relacionadas entre sí, la placa madre ha aprendido. Eso significa potencialmente que los mismos hackers los estaban usando. Según los informes de divulgación, algunos bugs estaban en las bibliotecas de fuentes, y otros se utilizaban para escapar de la caja de arena en Chrome, y otros se utilizaban para tomar el control de todo el sistema, lo que sugiere que algunos de estos bugs formaban parte de una cadena de vulnerabilidades utilizadas para explotar los dispositivos de la víctima.

Hasta ahora, ha salido muy poca información sobre quién puede haber estado usando los exploits y a quién se dirigían. A menudo, los investigadores de seguridad encuentran errores en los programas informáticos modernos y los divulgan éticamente, lo que significa que se corrigen antes de que se exploten ampliamente para piratear a las personas. En este caso, sin embargo, sabemos que los bugs estaban siendo utilizados para operaciones de hacking.

El año pasado, Google encontró una serie de vulnerabilidades de día cero -vulnerabilidades que en el momento del descubrimiento son desconocidas para el fabricante del software- que los espías estaban usando para atacar a la comunidad Uighur. China ha llevado a cabo una amplia y sistémica campaña de opresión física y técnica y de vigilancia contra la minoría musulmana.

«Esto se siente como una mierda de espía».

Desafortunadamente, esta vez no conocemos ningún detalle porque Google -la única compañía que tiene toda la historia detrás de estos bichos- no ha dicho mucho sobre cómo encontró los bichos, quién los estaba usando y contra quién se estaban usando. Notablemente, una actualización empujada a iOS 12 (que tiene dos años de antigüedad) parcheó el problema en los teléfonos que se remontan a los iPhone 5 y iPhone 6. A menudo, cuando las actualizaciones son enviadas a dispositivos tan viejos, significa que el error es particularmente malo, pero, de nuevo, no sabemos los detalles en este momento.

LEER  AngelFire: El malware de la CIA infecta el sector de arranque del sistema para hackear las PC de Windows

«El hecho de que actualizaran a los usuarios del iPhone 6 significa que era malo», dijo un experto en ciberseguridad que pidió no ser nombrado porque no se le permitía hablar con la prensa. «Ese teléfono ha sido el fin de la vida por un tiempo.»

«No vamos a poder ofrecer mucha información nueva», dijo el portavoz de Google, Scott Westover, en un correo electrónico el lunes.

Apple no respondió a las solicitudes de comentarios. Un portavoz de Microsoft dijo en un correo electrónico que la compañía «publicó actualizaciones de seguridad en noviembre para dirigirse a CVE-2020-17087. Los clientes que han aplicado las actualizaciones, o tienen habilitadas las actualizaciones automáticas, están protegidos». La compañía también dijo que no ha visto evidencia de explotación en la naturaleza.

Ben Hawkes, el jefe del Proyecto Cero de Google, el equipo de hábiles hackers del gigante de internet que tiene la misión de encontrar vulnerabilidades en todo tipo de software-no sólo de Google-anunció en Twitter en los últimos 10 días que su equipo había encontrado todas estas vulnerabilidades (siete en total.)

El 20 de octubre, Google reveló el primer error (CVE-2020-15999) en esta serie de vulnerabilidades, un error en FreeType, un software de renderizado de fuentes de código abierto, fue usado para atacar a Chrome, según Hawkes.

Luego, el 30 de octubre, el primer error (CVE-2020-17087) que llamó más la atención de la prensa fue un error de Windows que permitió a los hackers aumentar los privilegios del sistema, lo que significa que los hackers podían pasar de tener el control de una aplicación a tomar el control de todo el sistema de la víctima.

LEER  Your Phone Is Listening and it's Not Paranoia

Finalmente, la semana pasada, Hawkes escribió en Twitter que el Proyecto Cero también había encontrado días cero para Chrome y Android (CVE-2020-16009 y CVE-2020-16010) que fueron explotados en la naturaleza. El primero de ellos fue usado para «ejecución remota de código», jerga técnica para los hackers que toman el control total de una aplicación o sistema.

Sólo tres días después, Hawkes anunció que Apple había corregido tres errores críticos en el iOS. Dos de ellos en el kernel, la parte del sistema operativo que tiene acceso a casi todo lo que sucede en el teléfono, y uno de ellos era también un error de fuente, vagamente parecido al de FreeType que fue revelado el 20 de octubre. Este error, según Apple, permitió a los hackers tomar el control del teléfono de la víctima enviándoles un archivo con una «fuente mal hecha».

Shane Huntley, el jefe del Grupo de Análisis de Amenazas de Google, un equipo que rastrea a los hackers por todo el internet, dijo en Twitter que estos bugs fueron usados para «explotación selectiva en la naturaleza similar a la otra recientemente reportada 0days» y que estos bugs no tenían nada que ver con las elecciones de los Estados Unidos.

«Esto se siente como una mierda de espía», dijo Ryan Stortz, un investigador que trabaja en la empresa de consultoría de seguridad Trail of Bits, a Motherboard.

Stortz dijo que no ha visto los detalles de los exploits y vulnerabilidades, nadie fuera de Google y de las compañías que los parchearon, pero dijo que parece que todos podrían ser parte del arsenal de bugs del mismo grupo de hackers.

LEER  Revelaciones de Snowden, generan apoyo al desarrollo de Linux

«Es bastante raro que bichos como este sean de plataforma cruzada. Creo que es más probable que hayan encontrado otro sitio de agujeros de agua como el de los bichos uigures que tenían ambas cadenas.»

Todos estos siete bichos están relacionados entre sí, de acuerdo con una fuente con conocimiento de las vulnerabilidades, que pidió permanecer en el anonimato ya que no se les permitió hablar con la prensa.

En cualquier caso, algunos de estos bichos eran muy críticos y daban a los hackers mucho poder cuando los usaban. Los bugs del iOS, por ejemplo, eran tan peligrosos que Apple empujó actualizaciones no sólo para el actual iOS 14, sino también para el más antiguo, que no suele estar soportado, el iOS 12.

Deja un comentario

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

A %d blogueros les gusta esto: