Investigadores estadounidenses han descubierto un defecto que pueda explotarse a través de Android, Windows, iOS y otros sistemas operativos, y podría permitir atacar servicios populares como GMail y muchos otros. Los expertos en seguridad de la Universidad de California Riverside Bourns Facultad de Ingeniería y la Universidad de Michigan identificaron una debilidad que se cree que existe en varios sistemas operativos y que podría permitir una atacante robar datos sensibles a través de aplicaciones maliciosas.
La debilidad se puso a prueba a través en Android, pero los investigadores afirman el método podría ser utilizado a través de todas las plataformas porque el error radica en componentes compartidos en otros sistemas operativos: la capacidad de las aplicaciones para acceder a la memoria compartida de un dispositivo móvil. Sin embargo, no se han llevado a cabo pruebas en otros sistemas.
El ataque funciona cuando un usuario descarga una aplicación aparentemente inofensiva, como por ejemplo fondo de pantalla. Una vez instalado, los investigadores fueron capaces de explotar un canal lateral (side channel attack): la memoria compartida utilizada por un proceso, que puede ser accedida sin permisos o privilegios de las aplicaciones.
Los cambios dentro de la memoria compartida se monitorean, y estos cambios se correlacionan con lo que el equipo llama a un "activity transition event". En este ataque hay dos etapas: en primer lugar, el ataque debe llevarse a cabo en tiempo real, por ejemplo en el momento en que el usuario inicia SU sesión en GMail. En segundo lugar, hay que hacer que el hack sea indetectable para el usuario.
El método utilizado para explotar la falla fue un éxito en seis de siete aplicaciones probadas (82% al 92%). Entre las aplicaciones que se infiltraron con éxito estaban GMail, Chase Bank y H&R Block. La única aplicación que resultó difícil de atacar fue Amazon, con una tasa de éxito del 48 por ciento.
Zhiyun Qian, profesor asociado de la Universidad de California en Riverside, comentó: "Por diseño, Android permite que las aplicaciones puedan ser interceptadas y/o secuestradas. Pero la cosa es que hay que hacerlo en el momento adecuado para que el usuario no se dé cuenta".
Qian sugiere a los usuarios "no instalar aplicaciones no confiables", y para los desarrolladores, el investigador dice que un equilibrio más adecuado entre la seguridad y la funcionalidad debe ser inamovible.
El documento, Peeking into Your App without Actually Seeing It: UI State Inference and Novel Android Attacks [PDF] fue presentado ayer en el evento USENIX Security Symposium en San Diego y fue presentado con este video.
Comentarios
Publicar un comentario