15 mar. 2015

Stuxnet o la vulnerabilidad que Microsoft nunca corrigió

Stuxnet, fue sin duda uno de los malware que más dio que hablar allá por el 2010. Supuestamente diseñado y financiado por Estados Unidos e Israel para atacar el plan nuclear Iraní, marcó un antes y un después en el mundo del malware. Acaparó titulares y representó el inicio de una época y de lo que ya conocemos como ciberarmas.

Uno de los aspectos más relevantes fue el uso de hasta cuatro vulnerabilidades desconocidas hasta aquel momento para ejecutar código en las máquinas infectadas. Una de ellas permitía la ejecución de código aunque el AutoPlay y AutoRun se encontrasen desactivados. Esto ayudaba a su máxima difusión a través de dispositivos USB y del propio explorador de Windows. Fue parcheada por Microsoft en agosto de 2010, en un boletín de emergencia… o eso pensábamos hasta ayer.

Sí, como suena. La vulnerabilidad no estaba corregida. Ha sido entre el conjunto de parches publicado el pasado martes cuando bajo la actualización MS15-020 se ha terminado de solucionar el fallo que nunca se había solucionado totalmente y que incomprensiblemente ha pasado desapercibido durante casi cinco años. Incluso ha sido heredada en sistemas operativos posteriores como Windows Server 2012 o Windows 8.1.

Ha sido Zero Day Initiative la que reportó el problema, detectado por el investigador Michael Heerklotz a primeros de enero.
"The patch failed. And for more than four years, all Windows systems have been vulnerable to exactly the same attack that Stuxnet used for initial deployment." (El parche falló. Y durante más de cuatro años, todos los sistemas Windows han estado vulnerable a exactamente el mismo ataque que Stuxnet empleó en su despliegue inicial).
Como siempre, de acuerdo a su política reportó el fallo a Microsoft y ha ofrecido los detalles una vez que la firma de Redmon ha publicado una actualización. HP ha publicado un amplio y detallado informe técnico de como se producía el salto del problema, junto un vídeo que muestra como efectivamente se seguía reproduciendo la vulnerabilidad.
Como la forma de explotar el problema es diferente a la original empleada por Stuxnet, Microsoft ha tratado el problema como si de una nueva vulnerabilidad se tratara, y le ha asignado un CVE actual (CVE-2015-0096). Por otra parte, ZDI ha confirmado que la nueva actualización corrige el problema encontrado por Heerklotz. Pero que va a examinar la nueva actualización para determinar si existe alguna nueva forma de saltarse la protección.

Fuente: Hispasec

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info
Si vas a dejar una consulta, procura tener habilitado tu perfil en Blogger o deja una forma de contacto.

Gracias por comentar!