Cabecera-v2-web.jpg

Vulnerabilidad en OS X permite robar contraseñas a través de SMS


Dos investigadores en seguridad han descubierto una grave vulnerabilidad en OS X, el sistema operativo de Apple para sus ordenadores Mac, que podrí­a permitir a un atacante robar las contraseñas, además de otras credenciales, pasando de forma totalmente inadvertida a través de una serie de comandos en la consola.

Lo peor de esta vulnerabilidad es que no requiere virtualmente de ninguna interacción con la ví­ctima, simulando clics del ratón que pueden ser usados sobre botones ocultos que concederí­an permisos para acceder a Keychain, el gestor de contraseñas de OS X. El ataque ha sido bautizado como Brokechain y es bastante fácil de ejecutar.

Lo comandos requeridos pueden ser ejecutados desde muchos tipos de ficheros, desde un malware o incluso pueden estar incrustados en un fichero multimedia, provocando que OS X muestre un botón de permitir en la pantalla, que aparece brevemente en el borde la pantalla o detrás del dock, siendo pulsado a través de la utilización de otro comando. Dicho de otro modo, si el botón está detrás detrás del dock, posiblemente se accione al hacer clic sobre algunas de las aplicaciones puestas en él. Una vez activado, el atacante podrí­a recibir las contraseñas y credenciales del usuario a través de SMS u otros medios. El proceso resulta bastante rápido, y lo más probable es que la ví­ctima se percate de esta situación cuando ya sea demasiado tarde. Y viendo la descripción del párrafo anterior, no hay duda que estamos ante una derivación.

Los investigadores insisten en lo crí­tico de esta vulnerabilidad, utilizando expresiones como "consecuencias desastrosas" y "extremadamente crí­tico", y recomiendan tener cuidado con los ficheros de terceros, aunque eso no proteja del todo porque hay muchas formas de ejecutar Brokechain, ya que incluso los ficheros que aparentemente no son maliciosos pueden albergarlo. Y es más, han publicado una prueba de concepto en YouTube.

Apple, como casi siempre en estos asuntos, todaví­a no ha respondido por el problema derivado de Brokechain, ya sea de forma pública o a los investigadores. Aun así­ esperemos el gigante de Cupertino reaccione pronto ante un un fallo de seguridad tan grave como fácil de explotar.



Fuente: muycomputer.com


pie.png

CERT-PY | Centro de Respuestas a Incidentes Cibernéticos
Ministerio de Tencnologí­as de la Información y Comunicación (MITIC)

Avda. Gral. Santos c/ Concordia | Telefono: (595 21) 217-9000
República del Paraguay

80x15.png

Versión del Template 1.11