La forma de ataque del malware Scangate

Las computadoras sin acceso a internet son consideradas una de las mejores maneras de defender de ciberataques a los sistemas informáticos importantes o con datos sensibles; pero el reconocido criptógrafo Adi Shamir, coinventor del ampliamente utilizado sistema criptográfico RSA, junto a los investigadores Yuval Elovici y Moti Guri de la Universidad Ben-Gurión del Néguev en Israel descubrió métodos para instalar software malicioso en estas computadoras.

Si un ataque lograse instalar un software malicioso a las computadoras sin internet, no podría robar sus datos, pero Shamir descubrió que si una impresora multifuncional se encuentra conectada a dicha computadora un atacante podría ejecutar el software enviando comandos con un láser infrarrojo a través del panel del escáner cuando se encuentre abierto. Cuando Shamir dio una presentación respecto a este modo de ataque en octubre en Ámsterdam, en la conferencia de seguridad Black Hat Europe, lo denominó Scangate.

Adi Shamir asegura que con Scangate es posible exfiltrar claves de cifrado.

Para comprobarlo, Shamir, Elovici y Guri ejecutaron un ataque Scangate en un edificio en Beerseba, específicamente en una impresora HP Officejet Pro 8500. Descubrieron que con un láser azul podían enviar señales desde más de un kilómetro de distancia que podría ser interpretado por cualquier software malicioso que ya se encuentre instalado en la impresora. Además, si se utilizara un láser infrarrojo de alta potencia, la distancia se puede incrementar hasta cinco kilómetros, lo que lograría que el ataque sea virtualmente indetectable.

Scangate también puede ser utilizado para recibir datos desde la impresora. Dado que el software malicioso puede iniciar y cancelar operaciones con el escáner, los atacantes son capaces de interpretar códigos binarios mediante la pulsación de luz del escáner, lo que sirve para exfiltrar archivos y otros datos. «La operación puede ser repetida hasta finalmente exfiltrar información crítica, como claves de cifrado. [También se puede utilizar] un dron de cuatro hélices para acercarse y observar el escáner desde un mejor ángulo», dijo Shamir.

Las computadoras sin acceso a internet se han utilizado desde hace mucho para almacenar información ultrasecreta y en ambientes críticos. A través de una de estas computadoras fue que se instaló el virus Stuxnet, desarrollado para atacar las centrífugas de enriquecimiento nuclear en Natanz (Irán), presumiblemente mediante un dispositivo USB que alguien contrabandeó.

La advertencia final de Shamir es simple: «No conecten una impresora multifuncional a la red».

Licencia Creative Commons
Esta obra de Allan Aguilar está bajo una Licencia Creative Commons Atribución 4.0 Internacional.

Encabezado: WhisperToMe, HewlettPackardHarrisCoTX
Imagen: Erik Tews, Adi Shamir at TU Darmstadt (2013), CC BY-SA 3.0

Fuentes: «All-in-one printers can be used to control infected air-gapped systems from far away», «Black Hat Keynoter: Beware of Air Gap Risks ― Drone, Laser Attack Penetrate Secure Environment», «Side Channel Attacks – Past, Present, and Future».

Advertisements

La inseguridad de la aplicación de mensajería Whisper

Whisper, una aplicación para iOS y Android que permite a sus usuarios enviar y recibir mensajes anónimamente, en realidad monitoriza a sus usuarios, aun a aquellos que han desactivado la opción de ubicación geográfica. Además, la información de los usuarios se almacena indefinidamente y se comparte con el Departamento de Defensa de EE. UU. Todo esto sucede a pesar de que la compañía que creó la aplicación promete privacidad a sus usuarios.

Edificio del periódico The Guardian

Esta revelación hecha por el periódico británico The Guardian fue negada por los desarrolladores de Whisper, quienes aseguran que la aplicación «no sigue ni rastrea a sus usuarios» y que tal afirmación es «falsa». Sin embargo, días antes de que The Guardian publicara la historia, las condiciones de uso de la aplicación fueron modificadas para incluir la autorización de rastrear a los usuarios que han desactivado la ubicación geográfica.

Además, la compañía creó una herramienta que le permite a su personal buscar y filtrar datos de GPS, rastreando los mensajes emitidos a un radio de 500 metros de donde han sido enviados. Esta herramienta les ha permitido incluso monitorizar mensajes enviados desde El Pentágono y la Agencia de Seguridad Nacional. Y aunque los usuarios hayan desactivado la ubicación geográfica, la compañía puede extraer los datos sobre direcciones IP normalmente emitidos por los teléfonos inteligentes.

La compañía no tiene acceso a los nombres de los usuarios ni a sus números telefónicos, pero almacena lo que publican en una base de datos, incluyendo la hora exacta y la ubicación aproximada de todos los mensajes. Y a pesar de que Whisper asegura que los datos solo se almacenan temporalmente, esta base de datos, establecida permanentemente en las Filipinas, contiene registros que se remontan al lanzamiento de la aplicación en 2012.

A pesar de estas afirmaciones, Michael Heyward, cocreador de Whisper, ha indicado que «Whisper en realidad no oculta la identidad, sino que provee una completa ausencia de identidad». Él mismo asegura que Whisper es el «lugar más seguro de la internet» y que la aplicación es un lugar seguro en el que sus usuarios deberían sentirse libres de expresar sus sentimientos y confesiones más profundos.

En la actualidad, Whisper está valorada en más de 200 millones de dólares y sus usuarios publican 2.6 millones de mensajes diariamente.

Licencia Creative Commons
Esta obra de Allan Aguilar está bajo una Licencia Creative Commons Atribución 4.0 Internacional.

Imagen: Bryantbob, The Guardian Building in London, CC BY-SA 3.0

Fuentes: «Analyzing the Whisper CEOs Response To The Guardians Allegations», «How the ‘safest place on the internet’ tracks its users», «How Whisper app tracks ‘anonymous’ users (theguardian.com)», «How Whisper Tracks Users Who Don’t Share Their Location», «Im the CTO of Whisper. This is really bad reporting. A few notes», «Revealed: how Whisper app tracks ‘anonymous’ users», «What Whisper Is All About», «Whisper chief executive answers privacy revelations: ‘We’re not infallible», «Whisper: the facts».

Cómo atraparon en realidad al creador de Silk Road

Relacionado: «El creador de Silk Road es capturado mediante el servicio CAPTCHA» (2014-11-04)

El FBI había informado que Ross Ulbricht, creador del mercado negro en línea Silk Road, fue atrapado mediante los rastros dejados por su utilización del servicio CAPTCHA para evitar ataques contra el sitio web. Sin embargo, Brian Krebs, un periodista de investigación conocido por sus reportajes sobre criminales cibernéticos, afirma que la historia no es convincente:

«El FBI asegura que encontró el servidor de Silk Road tras examinar el tráfico de internet en texto simple que entraba y salía del CAPTCHA de Silk Road, y que visitó la dirección con un navegador normal e ingresó a la página del CAPTCHA. Pero [el científico informático Nicholas] Weaver dice que los registros del tráfico del servidor de Silk Road que también fueron publicados por el Gobierno […] cuentan una historia diferente.

Este aviso del FBI ahora reemplaza el contenido del sitio web de Silk Road

»“Los registros del servidor provistos por el FBI como evidencia demuestran que, no, lo que sucedió es que el FBI no vio ninguna filtración de datos proveniente de esa IP”, dijo. “Lo que sucedió fue que contactaron directamente con esa IP y obtuvieron la página de configuración del phpMyAdmin, [la herramienta para configurar la base de datos del sitio web]” […]

»Esto no satisface la respuesta acerca de cómo los investigadores del FBI identificaron los servidores de Silk Road. Después de todo, si los investigadores del FBI contactaron la página phpMyAdmin directamente, ¿cómo sabían hacerlo en primer lugar?

»“Esa es la pregunta de los 64 000 USD”, dijo Weaver. “Así que el CAPTCHA no podría filtrar esa configuración ni la IP que el Gobierno visitó estaba proveyendo el CAPTCHA, sino que fue una interfaz de phpMyAdmin. Por lo tanto, la historia de un CAPTCHA que filtra datos está llena de agujeros”».

El criptógrafo Bruce Schneier supone que la Agencia de Seguridad Nacional (NSA) le dio al FBI toda esta información, dado que la NSA así lo hace con el FBI y la Administración para el Control de Drogas bajo la condición de mentir en una corte sobre el origen de los datos. William Binney, ex director técnico de la NSA, explica cómo lo hacen: «Cuando no se puede usar los datos, hay que salir y utilizar una construcción paralela, lo que significa que hay que utilizar lo que normalmente se consideraría técnicas de investigación, [y] hallar los datos. Aunque con una pequeña pista: La NSA está indicando dónde se encuentran los datos».

Relacionado: «William Binney explica las operaciones de vigilancia de la NSA» (2014-11-11)

Licencia Creative Commons
Esta obra de Allan Aguilar está bajo una Licencia Creative Commons Atribución 4.0 Internacional.

Encabezado: DOJ, DOS, Ross Ulbricht’s Passport photo
Imagen: FBI, Silk Road

Fuente: «Silk Road Lawyers Poke Holes in FBI’s Story».