Joel Serna (i) y Ernesto Sánchez.
Es algo que no tenemos muy en cuenta. Compramos los accesorios para nuestros móviles y ordenadores sin pensar que pudieran traer algún peligro. Pero tenemos que cambiar esa mentalidad
¿Alguna vez has dudado de un ratón que conectas a un ordenador, o del cable de tu cargador del móvil? Seguramente la respuesta es que ni siquiera te lo has planteado. Cuando conectamos algo a nuestros dispositivos, salvo, quizás, en el caso 'pendrives' o tarjetas de memoria, lo normal es que confiemos en que no son más que meros accesorios, tan peligrosos para nuestro terminal como una mesa de madera. Pero después de leer esto, es muy posible que empieces a verlos de otra forma.
Joel Serna y Ernesto Sánchez son dos jóvenes españoles expertos en ciberseguridad y consultores en este mismo sector que, entre otros proyectos, han centrado sus carreras en estos periféricos que normalmente tratamos sin más importancia y que son potenciales puertas de entrada a todos nuestros sistemas. Y es que desde esa base de carga que utilizas para enchufar tu teléfono a la luz hasta el mismísimo cable que usas como unión a tu móvil pueden ser manipulados para colarse como un caballo de Troya en tus dispositivos y robarte tanto los datos como el control de los mismos.
“La idea de ‘troyanizar hardware’ [así se denominan técnicamente estas prácticas] viene por el simple hecho de que las personas confían en el ‘hardware’ y nunca llegan a pensar que este puede haber sido alterado con fines maliciosos. Actualmente, se empieza a ver cómo las personas desconfían de los ‘pendrives’ porque pueden contener ‘malware’, pero nunca se llega a desconfiar de cables y baterías para cargar el móvil, etc.”, explica en conversación con Teknautas Joel Serna, que fue el encargado de mostrar su proyecto en el evento Mundo Hacker Day, celebrado en Madrid.
Juntos construyen dos productos de los denominados BadUSB (dispositivos conectables por USB que se hacen pasar por otro para que confíes en ellos). El primero de ellos es un dispositivo llamado Phoenix Ovpositor que se parece mucho a un ‘pendrive’ y que puede usarse para aprovechar todas estas vulnerabilidades, tanto con la forma de 'pincho' como integrado en una base de carga o en un ratón, y el segundo es un cable al que aún no han puesto nombre. Ambos artilugios destacan por su bajo coste. “Muchos de sus componentes son comprados en internet con unos precios bajísimos en páginas chinas y tú solo tienes que tener los conocimientos para poder ensamblarlos y hacer que funcionen”.
“Nos gusta trastear con estas cosas, es divertido, y por eso hemos dedicado nuestro tiempo y dinero a estos proyectos, pero el objetivo es poder ayudar a concienciar a la gente del peligro de estos accesorios y a las empresas a poder protegerse de cualquiera de estos ataques”, comenta Serna. Es más, su siguiente objetivo es mandar el cable a algún fabricante, conseguir que creen unos cuantos miles de ellos y venderlos a expertos en ciberseguridad para que trasteen con ellos y vean los peligros que atañen para luego vigilar todo lo que compran.
Cómo funcionan estos sistemas
Vale, ese ratón que tengo por casa o el cable USB pueden haber sido manipulados, pero ¿cómo funcionan exactamente estos sistemas? Pues son mecanismos mucho más comunes de lo que imaginas.
Gracias a microcontroladores diminutos que colocan en estos periféricos y que pasan totalmente desapercibidos, como vemos en las fotos que pusimos arriba y en las que añadimos bajo este párrafo, consiguen entrar en tu dispositivo. Algunos simplemente son controladores programables, y sirven para, una vez programados y conectados, conseguir que el móvil o el ordenador realice alguna acción concreta (abrir la tienda de aplicaciones y descargar una ‘app’ maliciosa, por ejemplo), pero otros son mucho más sofisticados y llegan a tomar el control del terminal sin que tú te des ni cuenta. Para ello, llegan a abrir puertas con puntos de conexión wifi o Bluetooth.
“Nosotros aún estamos trabajando en sistemas que puedan levantar puntos wifi para conectarnos remotamente al accesorio, pero ya existen otros proyectos que lo han logrado. Uno de los más conocidos es USBNinja, que permite hacerlo a través de una conexión Bluetooth”. Algo similar consigue otro cable en cuyo desarrollo participó el propio Serna: el OMG (Offensive MG), que sí da acceso por wifi.
OMG! 2 months + 8 devs + O•MG Cable = malicious wireless implant update!This update brought to you by the chaos workshop elves: @d3d0c3d, @pry0cc, @clevernyyyy, @JoelSernaMoreno, @evanbooth, @noncetonic, @cnlohr, @RoganDawesMore info:
En cuanto a los potenciales ataques que pueden realizar a tu móvil, Serna destaca dos en concreto. En el caso de los microcontroladores programados con anterioridad, se puede conseguir emular al usuario y ejecutar acciones que el mismo no espera (o realizar acciones que él no desea). El otro ataque se basa en la ejecución de comandos ADB en dispositivos móviles Android aprovechando los espacios dedicados a los desarrolladores para hacerse con el control del móvil.
Prácticamente indetectables
Después de leer todo esto, puede que estés pensando en qué puedes hacer para protegerte de estos caballos de Troya, o al menos qué precauciones puedes tomar para evitar caer en alguna trampa, pero lo peor es que a día de hoy es algo prácticamente indetectable. Al menos así lo asegura el experto en ciberseguridad, que explica que normalmente la única forma de saber que un cable o una base de carga vienen con algo dentro es desmontando el accesorio.
Ratón manipulado. (Imagen cedida)
Por ello, la recomendación de Serna es que revises con detalle dónde conectas tus dispositivos (mucho cuidado con esos cargadores baratos que compramos por internet o en tiendas de 'todo a 100') y, sobre todo, que no lo hagas como si no pudiera pasar nada. Como avisa, hasta los accesorios de fabricantes de confianza pueden ser manipulados para colarte algún tipo troyano, por lo que no queda otra que estar atentos.
AUTOR
GUILLERMO CID 01/ 05/2019
No hay comentarios:
Publicar un comentario
Nota: solo los miembros de este blog pueden publicar comentarios.