A finales del pasado año, Apple solucionó uno de los fallos más graves de su sistema, el cual involucra al navegador Safari y a la herramienta iCloud. Y es que a través de una vulnerabilidad en este navegador, era posible que los ciberdelincuentes pudieran acceder a los datos de nuestras cuentas, micrófono, o incluso webcam.
A través de su programa de recompensas para encontrar problemas de seguridad, Apple recompensó al investigador independiente que descubrió el fallo con 100.500 dólares.
Una vulnerabilidad que esquiva todas las protecciones de macOS
Tal como cuenta el medio Wired, macOS cuenta con un buen número de protecciones en su sistema para hacer frente a este tipo de ataques. Una de ellas es Gatekeeper, la cual confirma la validación del software que se ejecuta en el equipo. Sin embargo, la vulnerabilidad hallada puede esquivar estas protecciones aprovechándose de algunas de las características que Safari y iCloud ofrecen.
Ryan Pickren, el investigador independiente que descubrió este fallo, ha publicado en su página web cómo era posible acceder al equipo de la víctima a través de iCloud y Safari. Pickren se dio cuenta que Apple utiliza una aplicación llamada ShareBear para proceder con la transferencia de archivos en iCloud. El investigador halló la forma de tomar control de esta aplicación, permitiendo así compartir archivos maliciosos a otros usuarios.
La estrecha relación entre todas estas apps facilitaba este proceso, ya que un ciberdelincuente podría intercambiar el archivo compartido, por uno que contuviese malware de manera silenciosa. Una vez insertado el archivo malicioso, el hacker puede tener control total de la víctima a través de Safari, obteniendo información privada de cuentas, y aprovechando los permisos concedidos a las páginas web para activar la cámara o el micrófono de la víctima. Esto es lo que comenta Pickren respecto a este fallo:
"El atacante está básicamente perforando un agujero en el navegador. Si has iniciado sesión en Twitter.com en una pestaña, yo podría entrar ahí y hacer todo lo que puedes hacer tú desde Twitter. Pero no tiene nada que ver con la seguridad o servidores de Twitter; Yo como atacante estoy solamente asumiendo el rol que tienes tú en tu navegador".
No es la primera vez que este investigador descubre alguna vulnerabilidad en Safari, ya que también halló otras formas de activar la webcam a través del propio navegador. En el caso que hemos comentado, Pickren descubrió la vulnerabilidad a mediados de julio, y Apple le recompensó con ello con 100.500 dólares una vez confirmada y resuelta. Esta es una cantidad importante, y refleja la gravedad de la brecha de seguridad.
Ver 1 comentarios