T3 Ep97: ¿Tu iPhone fue dañado? ¿Cómo sabrías? [Audio + Texto]

Marca de tiempo: 25 de agosto de 2022 11:37 a.m.
Nodo de origen: 1638221

by
Paul patito

ESCUCHA AHORA

Con Doug Aamoth y Paul Ducklin.

Música de introducción y final de Edith Mudge.

Haga clic y arrastre en las ondas sonoras de abajo para saltar a cualquier punto. Tú también puedes escuchar directamente en Soundcloud.

Puedes escucharnos en SoundCloud, Podcasts de Apple, Podcasts de Google, Spotify, Stitcher y en cualquier lugar donde se encuentren buenos podcasts. O simplemente suelta el URL de nuestro feed RSS en tu cazador de vainas favorito.

LEER LA TRANSCRIPCIÓN

DOUG.  Cajeros automáticos de Bitcoin atacados, Janet Jackson colapsando computadoras y muchos días cero.

Todo eso y más en el podcast Naked Security.

[MOODEM MUSICAL]

Bienvenidos al podcast, todos.

Soy Doug Aamoth.

Conmigo, como siempre, está Paul Ducklin.

Pablo, ¿cómo estás?

PATO.  Estoy muy bien, Douglas.

¡Bienvenido de vuelta de tus vacaciones!

DOUG.  Es bueno estar de vuelta en la seguridad de mi propia oficina, lejos de los niños pequeños.

[LA RISA]

Pero esa es otra historia para otro momento.

Como saben, nos gusta comenzar el espectáculo con un poco de Historia de la tecnología.

Esta semana, el 24 de agosto de 1995, la canción "Start Me Up" de los Rolling Stones se lanzó, bajo licencia, como el tema musical que lanzó Microsoft Windows 95.

Como predijo la canción, “haces llorar a un hombre adulto”, y algunos enemigos de Microsoft han estado llorando desde entonces.

[MEJORÍA] Me gustaba Windows 95...

…pero como dices, necesitabas encenderlo varias veces y, a veces, se iniciaba solo.

PATO.  ¡¿Me arranque?!

¿Quién sabía adónde *eso* iba a conducir?

Creo que teníamos una idea, pero no creo que imagináramos que se convertiría en Windows 11, ¿verdad?

DOUG.  Nosotros no

Y me gusta Windows 11, tengo pocas quejas al respecto.

PATO.  ¿Sabes que?

De hecho, fui y pirateé mi administrador de ventanas en Linux, que solo hace ventanas rectangulares.

Agregué un pequeño truco que coloca esquinas ligeramente redondeadas, solo porque me gusta cómo se ven en Windows 11.

Y será mejor que no lo diga en público, que utilicé una característica visual de Windows 11 como impulso...

... ¡o mi nombre será sucio, Douglas!

DOUG.  ¡Oh mi!

Está bien, bueno, entonces no hablemos más de eso.

Pero sigamos con el tema de la historia de la tecnología y la música.

Y puedo hacerte esta simple pregunta...

¿Qué hacen Janet Jackson y Ataques de denegación de servicio tienen en común?

PATO.  Bueno, no creo que estemos diciendo que Janet Jackson de repente haya sido declarada malvada de principios de la década de 2000, o incluso de la década de 1990, o incluso de finales de los 80...

DOUG.  No a propósito, al menos.

PATO.  No… no a propósito.

Esta es una historia que proviene nada menos que de una fuente de ueberblogger en Microsoft, Raymond Chen.

Él escribe los blogs más breves y agudos, explicando cosas, a veces un poco contraculturalmente, a veces incluso haciendo una pequeña excavación en su propio empleador, diciendo: "¿Qué estábamos pensando en ese entonces?"

Y es tan famoso que incluso sus corbatas, siempre usa corbata, corbatas de hermosos colores, incluso sus corbatas tienen un De Twitter, Doug.

[LA RISA]

Pero Raymond Chen escribió una historia que se remonta a 2005, creo, donde un fabricante de hardware de Windows del momento (no dice cuál) se puso en contacto con Microsoft y dijo: "Tenemos este problema de que Windows sigue fallando y nosotros". lo he reducido a cuando la computadora está reproduciendo, a través de su propio sistema de audio, la canción Nación del ritmo".

un muy famoso canción de janet jackson – Me gusta bastante, en realidad – de 1989, lo creas o no.

[LA RISA]

“Cuando suena esa canción, la computadora falla. Y, curiosamente, también bloquea las computadoras que pertenecen a nuestros competidores y bloqueará las computadoras vecinas”.

Obviamente, rápidamente pensaron: "Tiene que ver con la vibración, ¿no?".

Vibración del disco duro, o algo así.

Y su afirmación era que simplemente coincidía con la llamada frecuencia de resonancia del disco duro, hasta el punto de que colapsaba y derribaba el sistema operativo.

Así que pusieron un filtro de audio que cortaba las frecuencias que creían que eran más probables de causar que el disco duro vibrara y causara problemas.

DOUG.  Y mi parte favorita de esto, aparte de toda la historia...

[LA RISA]

…es que hay un CVE *emitido en 2022* sobre esto!

PATO.  Sí, prueba de que al menos algunas personas en el servicio público tienen sentido del humor.

DOUG.  Love it!

PATO.  CVE-2022-23839: soportes de denegación de servicio (mal funcionamiento del dispositivo y bloqueo del sistema).

“Cierta unidad de disco OEM de 5400 rpm, tal como se envió con las computadoras portátiles aproximadamente en 2005, permite que los atacantes físicamente próximos provoquen una denegación de servicio a través de un ataque de frecuencia resonante con la señal de audio de la Nación del ritmo video musical."

Dudo que fuera algo específico de Rhythm Nation... simplemente hizo vibrar su disco duro y provocó que no funcionara correctamente.

Y de hecho, como señaló uno de nuestros comentaristas, hay un video famoso de 2008 que puedes encontrar en YouTube (hemos puesto el enlace en los comentarios sobre el artículo de Naked Security) titulado “Gritando a los servidores”.

Era un investigador de Sun: si se inclinaba y gritaba en una matriz de unidades de disco, podía ver en la pantalla que había un gran aumento en los errores de disco recuperables.

Una cantidad masiva, masiva de errores de disco cuando gritó allí, y obviamente las vibraciones estaban desanimando a los discos.

DOUG.  ¡Sí!

Excelente historia extraña para comenzar el espectáculo.

Y otro tipo de historia rara es: Un Bitcoin Ataque de robo de cajero automático que no contenía malware real.

¿Cómo lograron esto?

PATO.  Sí, me fascinó esta historia en varias cuentas.

Como dices, una es que las cuentas de los clientes fueron “leeched” o “skimming” *sin implantar malware*.

Fueron solo cambios de configuración, desencadenados a través de una vulnerabilidad.

Pero también parece que los atacantes solo estaban probando esto, o era más una prueba de concepto, o esperaban que pasara desapercibido durante mucho tiempo y robarían pequeñas cantidades durante un largo período de tiempo sin cualquiera que sea consciente.

DOUG.  Sí.

PATO.  Se notó, aparentemente con bastante rapidez, y el daño aparentemente se limitó a, bueno, digo "solo": $ 16,000.

Que es tres órdenes de magnitud, o 1000 veces, menos que las cantidades típicas que generalmente necesitamos para comenzar a hablar sobre estas historias.

DOUG.  ¡Bastante bueno!

PATO.  $100 millones, $600 millones, $340 millones...

Pero el ataque no fue contra los propios cajeros automáticos. Fue contra el producto Coin ATM Server que debe ejecutar en algún lugar si es cliente de esta empresa.

Se llama Bytes generales.

No sé si es pariente de esa famosa personalidad de Windows General Failure…

[LA RISA]

Pero es una empresa checa llamada General Bytes, y fabrica estos cajeros automáticos de criptomonedas.

Entonces, la idea es que necesita este servidor que es el back-end para uno o más cajeros automáticos que tiene.

Y lo ejecuta en su propio servidor, en su propia sala de servidores, bajo su propio control cuidadoso, o puede ejecutarlo en la nube.

Y si desea ejecutarlo en la nube, han hecho un trato especial con el proveedor de alojamiento Digital Ocean.

Y si lo desea, puede pagarles una tarifa de transacción del 0.5%, aparentemente, y no solo pondrán su servidor en la nube, sino que lo ejecutarán por usted.

Todo muy bien.

El problema es que había lo que parece una vulnerabilidad de omisión de autenticación en el front-end del servidor Coin ATM.

Entonces, si ingresaste contraseñas súper complicadas, 2FA, 3FA, 12FA, no parecía importar. [LA RISA]

Había un bypass que permitiría a un usuario no autorizado crear una cuenta de administrador.

Por lo que puedo entender (no han sido completamente abiertos, comprensiblemente, acerca de cómo funcionó exactamente el ataque), parece que los atacantes pudieron engañar al sistema para que volviera a su modo de "configuración inicial".

Y, obviamente, una de las cosas cuando configura un servidor, dice: "Necesita crear una cuenta administrativa".

Podrían llegar tan lejos, por lo que podrían crear una nueva cuenta administrativa y luego, por supuesto, podrían volver a ingresar como administradores de sistemas recién acuñados... sin necesidad de malware.

No tenían que entrar, soltar ningún archivo, hacer una elevación de privilegios dentro del sistema.

Y en particular, parece que una de las cosas que hicieron es…

…en el caso de que un cliente inadvertidamente intentara enviar monedas a una billetera incorrecta, o inexistente, tal vez incluso bloqueada, en este software, los operadores de cajeros automáticos pueden especificar una billetera de recolección especial para lo que de otro modo serían transacciones no válidas.

Es casi como una especie de billetera de depósito en garantía.

Entonces, lo que hicieron los ladrones fue cambiar el identificador de billetera de "destino de pago no válido" por uno propio.

Así que, presumiblemente, su idea era que cada vez que hubiera una transacción errónea o inválida de un cliente, lo que podría ser bastante raro, el cliente podría ni siquiera darse cuenta de que los fondos no se habían procesado si estaba pagando algo de forma anónima...

Pero el punto es que este es uno de esos ataques que nos recuerda que la respuesta a las amenazas de seguridad cibernética en estos días... ya no se trata simplemente de, “Bueno, encuentre el malware; eliminar el malware; aplicar los parches.”

Todas esas cosas son importantes, pero en este caso, aplicar el parche evita que te pirateen en el futuro, pero a menos que también vayas y revalides por completo todas tus configuraciones...

…si fue pirateado antes, permanecerá pirateado después, sin malware para encontrar en ningún lado.

Son solo cambios de configuración en su base de datos.

DOUG.  Contamos con un servicio de MDR; muchas otras empresas tienen servicios de MDR.

Si hay seres humanos que buscan proactivamente cosas como esta, ¿es algo que podríamos haber detectado con un servicio MDR?

PATO.  Bueno, obviamente, una de las cosas que esperaría es que un servicio de MDR, si siente que está fuera de su alcance o no tiene tiempo, y contrata a una empresa no solo para que lo ayude, sino esencialmente para cuidar su seguridad cibernética y mantenerla en equilibrio …

..Sé que el MDR de Sophos El equipo recomendaría esto: “Oye, ¿por qué tienes tu Coin ATM Server abierto a todo Internet? ¿Por qué al menos no lo haces accesible a través de una red intermedia donde tienes algún tipo de sistema de confianza cero que hace que sea más difícil para los delincuentes ingresar al sistema en primer lugar?

Tendría un enfoque más granular para permitir el ingreso de personas, porque parece que el verdadero punto débil aquí fue que estos atacantes, los ladrones, solo pudieron hacer un escaneo de IP de los servidores de Digital Ocean.

Básicamente, simplemente deambularon, buscando servidores que estuvieran ejecutando este servicio en particular, y luego, presumiblemente, regresaron más tarde y trataron de ver en cuál de ellos podían entrar.

No es bueno pagarle a un equipo de MDR para que venga y se ocupe de la seguridad si no está dispuesto a tratar de obtener la configuración de seguridad correcta en primer lugar.

Y, por supuesto, la otra cosa que esperaría que hiciera un buen equipo de MDR, con sus ojos humanos en la situación, ayudados por herramientas automáticas, es detectar cosas que *casi parecen correctas pero no lo son*.

Entonces, sí, hay muchas cosas que puede hacer, siempre que: sepa dónde debe estar; sabes dónde quieres estar; y tienes alguna forma de diferenciar el buen comportamiento del mal comportamiento.

Porque, como puede imaginar, en un ataque como este, aparte del hecho de que tal vez las conexiones originales provengan de un número de IP que no esperaba, no hay nada absolutamente desfavorable.

Los delincuentes no intentaron implantar algo ni cambiar ningún software que pudiera haber disparado una alarma.

Activaron una vulnerabilidad, por lo que habrá algunos efectos secundarios en los registros...

…la pregunta es, ¿eres consciente de lo que puedes buscar?

¿Estás buscando regularmente?

Y si encuentra algo anómalo, ¿tiene una buena manera de responder de manera rápida y efectiva?

DOUG.  Excelente.

Y hablando de encontrar cosas, tenemos dos historias sobre los días cero.

Vamos a empezar con el Chrome de día cero de antemano.

PATO.  Sí, esta historia salió a la luz a mediados de la semana pasada, justo después de que grabáramos el podcast de la semana pasada, y en ese momento aparecieron 11 correcciones de seguridad.

Uno de ellos fue particularmente notable, y fue CVE-2022-2856, y se describió como "Validación insuficiente de entrada no confiable en Intents".

Una intención. Si alguna vez ha hecho programación de Android... es la idea de tener una acción en una página web que dice: "Bueno, no solo quiero que esto se muestre. Cuando ocurre este tipo de cosas, quiero que sea manejado por esta otra aplicación local”.

Es el mismo tipo de idea que tener una URL mágica que diga: "Bueno, en realidad, lo que quiero hacer es procesar esto localmente".

Pero Chrome y Android tienen esta forma de hacerlo llamada Intents, y puedes imaginar cualquier cosa que permita que los datos que no son de confianza en una página web activen una aplicación local para que haga algo con esos datos que no son de confianza...

…posiblemente podría terminar muy mal.

Por ejemplo, "Haz esto que realmente no debes hacer".

Como, "Oye, reinicia la configuración, crea un nuevo usuario administrativo"... tal como hablábamos en el servidor Coin ATM.

Entonces, el problema aquí fue que Google admitió que se trataba de un día cero, porque se sabía que había sido explotado en la vida real.

Pero no dieron ningún detalle de exactamente qué aplicaciones se activan; qué tipo de datos podrían desencadenar; qué podría pasar si esas aplicaciones se activaran.

Por lo tanto, no estaba claro qué indicadores de compromiso [IoC] podría buscar.

Lo que *estaba* claro es que esta actualización era más importante que la actualización promedio de Chrome, debido al agujero de día cero.

Y, por cierto, también se aplicaba a Microsoft Edge.

Microsoft emitió una alerta de seguridad que decía: “Sí, hemos echado un vistazo y, por lo que podemos ver, esto también se aplica a Edge. Hemos heredado el error de la base de código de Chromium. Mira este espacio."

Y el 19 de agosto de 2022, Microsoft lanzó una actualización de Edge.

Entonces, ya sea que tenga Chromium, Chrome, Edge o cualquier navegador relacionado con Chromium, debe asegurarse de tener la última versión.

E imagina que cualquier cosa con fecha del 18 de agosto de 2022 o posterior probablemente tenga esta solución.

Si está buscando notas de la versión para cualquier navegador basado en Chromium que use, desea buscar: CVE 2022-2856.

DOUG.  Bien, entonces tenemos un agujero de ejecución de código remoto en el software de renderizado HTML WebKit de Apple, lo que puede conducir a un agujero en la ejecución del kernel...

PATO.  ¡Sí, esa fue una historia aún más emocionante!

Como siempre decimos, las actualizaciones de Apple acaban de llegar cuando llegan.

Pero este apareció de repente, y solo arregló estos dos agujeros, y ambos están en la naturaleza.

Uno, como dices, era un error en WebKit, CVE-2022-32893, y el segundo, que es -32894, es, si quieres, un agujero correspondiente en el núcleo mismo... ambos corregidos al mismo tiempo, ambos En la naturaleza.

Eso huele a que se encontraron al mismo tiempo porque estaban siendo explotados en paralelo.

El error de WebKit para entrar y el error del kernel para levantarse y hacerse cargo de todo el sistema.

Cuando escuchamos arreglos como ese de Apple, donde todo lo que están arreglando es web-bug-plus-kernel-bug al mismo tiempo: “¡En la naturaleza! ¡Parche ahora!”…

..su pensamiento inmediato es, oh-oh, esto podría permitir el jailbreak, donde básicamente se eliminan todas las restricciones de seguridad de Apple, o spyware.

Apple no ha dicho mucho más que: “Existen estos dos errores; fueron encontrados al mismo tiempo, informados por un investigador anónimo; ambos están parcheados; y se aplican a todos los iPhone, iPad y Mac compatibles”.

Y lo interesante es que la última versión de macOS, Monterey... obtuvo un parche completo a nivel del sistema operativo de inmediato.

Las dos versiones anteriores compatibles de Mac (es decir, Big Sur y Catalina, macOS 10 y 11)... no obtuvieron parches a nivel del sistema operativo, como si no fueran vulnerables a la vulnerabilidad del kernel.

Pero *obtuvieron* una nueva versión de Safari, que se incluyó con la actualización de Monterey.

Esto sugiere que definitivamente están en riesgo de esta adquisición de WebKit.

Y, como dijimos antes, Doug, el aspecto crítico de los errores críticos en el WebKit de Apple es doble:

(1) En iPhones y iPads, todos los navegadores y todo el software de renderizado web, si se permite su acceso a la tienda de aplicaciones, *debe usar WebKit*.

Incluso si es Firefox, incluso si es Chrome, incluso si es Brave, sea cual sea el navegador que sea... tienen que eliminar cualquier motor que puedan usar e insertar el motor WebKit debajo.

Así que simplemente evitar Safari en iPhones no soluciona este problema. Eso es (1).

El número (2) es que muchas aplicaciones, tanto en Mac como en iDevices, usan HTML como una forma muy conveniente, eficiente y atractiva de hacer cosas como Pantallas de ayuda y Acerca de Windows.

¿Por qué no lo harías tú?

¿Por qué crear sus propios gráficos cuando puede crear una página HTML que se escalará sola para adaptarse a cualquier dispositivo que tenga?

Por lo tanto, muchas aplicaciones *que no son navegadores web* pueden usar HTML como parte de su "idioma" de visualización de pantalla, especialmente en Acerca de las pantallas y Ventanas de ayuda.

Eso significa que probablemente usen una característica de Apple llamada WebView, que hace la representación HTML por ellos.

¡Y WebView se basa en WebKit, y WebKit tiene este error!

Por lo tanto, este no es solo un problema del navegador.

En teoría, podría explotarse contra cualquier aplicación que simplemente use HTML, incluso si es solo la pantalla Acerca de.

Entonces, esos son los dos problemas críticos con este problema crítico en particular, a saber: (1) el error en WebKit y, por supuesto, (2) en Monterey y en iPhones y iPads, el hecho de que también hubo una vulnerabilidad del kernel , que presumiblemente podría ser explotado en cadena.

Eso significaba que los ladrones no solo podían entrar, sino que podían subir la escalera y tomar el control.

Y eso es muy malo de hecho.

DOUG.  OK, eso lleva muy bien a la pregunta de nuestro lector al final de cada programa.

Sobre la historia del doble día cero de Apple, la lectora Susan hace una pregunta simple pero excelente pregunta: “¿Cómo sabría un usuario si ambos exploits se ejecutaron en su teléfono?”

¿Cómo sabrías?

PATO.  Doug... lo complicado en este caso es que probablemente no lo harías.

Quiero decir, *podría* haber algún efecto secundario obvio, como que su teléfono de repente comienza a fallar cuando ejecuta una aplicación que ha sido completamente confiable antes, por lo que sospecha y pide a un experto que lo revise por usted, tal vez porque usted considérese en alto riesgo de que alguien quiera descifrar su teléfono.

Pero para el usuario promedio, el problema aquí es que Apple acaba de decir: “Bueno, hay un error en WebKit; hay un error en el kernel”.

No se proporcionan Indicadores de Compromiso; sin código de prueba de concepto; no hay descripción de exactamente qué efectos secundarios podrían quedar atrás, si los hay.

Por lo tanto, es casi como si la única forma de averiguar exactamente qué efectos secundarios visibles podrían dejar estos errores de forma permanente. que podrías ir a buscar…

…sería esencialmente redescubrir estos errores por sí mismo, descubrir cómo funcionan y redactar un informe.

Y, según mi leal saber y entender, simplemente no hay ningún indicador de compromiso (o ninguno confiable) que pueda buscar en su teléfono.

La única forma en que se me ocurre que le permitiría volver esencialmente a un estado "bien conocido" sería investigar cómo usar el sistema DFU de Apple (que creo que significa Actualización de firmware del dispositivo).

Básicamente, hay una secuencia de teclas especial que presionas, y necesitas conectar tu dispositivo con un cable USB a una computadora confiable, y básicamente reinstala todo el firmware... el firmware más reciente: Apple no te permitirá cambiar a una versión anterior, porque ellos saben que la gente usa eso para trucos de jailbreak). [RISAS]

Entonces, básicamente descarga el firmware más reciente; no es como una actualización, es una reinstalación.

Básicamente, borra su dispositivo e instala todo nuevamente, lo que lo devuelve a una condición conocida.

Pero es como tirar tu teléfono y comprar uno nuevo: tienes que configurarlo desde el principio, para que se borren todos tus datos.

Y, lo que es más importante, si tiene alguna secuencia de generación de código 2FA configurada allí, *esas secuencias se borrarán*.

Por lo tanto, asegúrese de que, antes de realizar una actualización de firmware del dispositivo en la que todo se borrará, tenga formas de recuperar cuentas o configurar 2FA de nuevo.

Porque después de hacer esa DFU, cualquier secuencia de autenticación que haya programado en su teléfono desaparecerá y no podrá recuperarla.

DOUG.  ESTÁ BIEN. [SONANDO BAJO] Yo...

PATO.  Esa no fue una muy buena respuesta, Doug...

DOUG.  No, eso no tiene nada que ver con esto, solo una nota al margen.

Actualicé mi teléfono Pixel a Android 13, bloqueó el teléfono y perdí mis cosas 2FA, ¡lo cual fue un gran problema!

PATO.  *Bloqueado* [HECHO QUE NO SE PUEDA ARRANCAR PARA SIEMPRE] o simplemente lo borró?

¿El teléfono sigue funcionando?

DOUG.  No, no enciende.

¡Se congeló, lo apagué y no pude volver a encenderlo!

PATO.  ¿Oh enserio?

DOUG.  Así que me están enviando uno nuevo.

Normalmente, cuando obtiene un teléfono nuevo, puede usar el teléfono anterior para configurar el teléfono nuevo, pero el teléfono anterior no se enciende...

…así que esta historia acaba de llegar un poco cerca de casa.

Me puso un poco melancólico, porque ahora estoy usando el Pixel XL original, que es el único teléfono que tenía como respaldo.

Y es grande, torpe y lento, y la batería no es buena... esa es mi vida.

PATO.  Bueno, Doug, ¡podrías ir a la tienda de teléfonos y comprarte un iPhone SE 2022 de Apple [DOUG EMPIEZA A REÍR PORQUE ES UN FANBUOY DE ANDROID]!

DOUG.  [AGASTADO] ¡De ninguna manera!

¡No! ¡No! ¡No!

El mio tiene dos dias de envio.

PATO.  Delgado, ligero, barato y hermoso.

Mucho mejor aspecto que cualquier teléfono Pixel: tengo uno de cada uno.

Los teléfonos Pixel son geniales, pero...

[TOS A CONOCIMIENTO, SUSURROS] … ¡el iPhone es mejor, Doug!

DOUG.  OK, otra historia para otro momento!

Susan, gracias por enviar esa pregunta.

Fue un comentario sobre ese artículo, que es genial. así que ve y Mira eso.

Si tiene una historia interesante, un comentario o una pregunta que le gustaría enviar, nos encantaría leerlo en el podcast.

Puede enviar un correo electrónico a tips@sophos.com; puedes comentar cualquiera de nuestros artículos; o puede contactarnos en las redes sociales: @NakedSecurity.

Ese es nuestro programa de hoy, muchas gracias por escuchar.

Para Paul Ducklin, soy Doug Aamoth, les recuerdo, hasta la próxima, que...

AMBAS COSAS.  ¡Mantente seguro!

[MÓDEM MUSICAL]

Sello de tiempo:

Mas de Seguridad desnuda