Un hacker encontró una manera de hacerse cargo de cualquier cámara web de Apple.
Las vulnerabilidades de Safari han sido parcheadas, pero habrían dado una cantidad alarmante de acceso.
Apple tiene una reputación bien ganada por su seguridad, pero en los últimos años de su navegador Safari ha tenido su cuota de errores. Esta semana, un investigador de seguridad compartió públicamente nuevos hallazgos sobre vulnerabilidades que habrían permitido a un atacante explotar tres errores de Safari en sucesión y hacerse cargo de la cámara web y el micrófono de un objetivo en dispositivos iOS y macOS.
Apple parchó las vulnerabilidades en las actualizaciones de enero y marzo. Pero antes de las correcciones, todo lo que una víctima tendría que hacer es hacer clic en un enlace malicioso y un atacante podría espiarlos de forma remota.
«Safari alienta a los usuarios a guardar sus preferencias para los permisos del sitio, como confiar en Skype con acceso de micrófono y cámara», dice Ryan Pickren, el investigador de seguridad que reveló las vulnerabilidades a Apple. «Entonces, lo que un atacante podría hacer con esta cadena de asesinatos es crear un sitio web malicioso que, desde la perspectiva de Safari, podría convertirse en ‘Skype’. Y luego el sitio malicioso tendrá todos los permisos que le otorgó previamente a Skype, lo que significa que un atacante podría simplemente comience a tomar fotos de usted o encienda su micrófono o incluso comparta la pantalla «.
Los errores que Pickren encontró todos provienen de descuidos aparentemente menores. Por ejemplo, descubrió que la lista de Safari de los permisos que un usuario ha otorgado a los sitios web trataba todo tipo de variaciones de URL como parte del mismo sitio, como https://www.example.com, http://example.com, y falso: //ejemplo.com. Al «moverse», como dice Pickren, fue capaz de generar URL especialmente diseñadas que podrían funcionar con scripts incrustados en un sitio malicioso para lanzar el cebo y el interruptor que engañaría a Safari.
«Simplemente martilleé el navegador con casos realmente extraños hasta que Safari se confundió y dio un origen que no tenía sentido», dice. «Y eventualmente los errores podrían rebotar de uno a otro. Parte de esto es que algunos de los errores eran defectos muy, muy viejos en el núcleo de WebKit de hace años. Probablemente no eran tan peligrosos como lo son ahora. porque las estrellas se alinearon sobre cómo un atacante las usaría hoy «.
Un hacker que engañó a una víctima para que hiciera clic en su enlace malicioso podría iniciar silenciosamente la cámara web y el micrófono del objetivo para capturar videos, tomar fotos o grabar audio. Y el ataque funcionaría tanto en iPhones, iPads y Macs. Ninguno de los defectos está en las protecciones de micrófono y cámara web de Apple, ni siquiera en las defensas de Safari que evitan que los sitios maliciosos accedan a los sensores. En cambio, el ataque supera todas estas barreras con solo generar un disfraz convincente.
Pickren presentó siete vulnerabilidades al programa de recompensas de errores de Apple a mediados de diciembre y dice que recibió una respuesta de que la compañía había validado los errores al día siguiente. Mientras que un atacante solo explotaría tres de los errores para hacerse cargo de las cámaras web en la cadena que Pickren imaginó, encontró otros defectos relacionados en el camino que también presentó. Pickren dice que parte de la razón por la que encontró tantos errores adicionales fue porque estaba buscando una cadena de ataque que funcionara tanto en iOS como en macOS, y Safari está diseñado de manera ligeramente diferente para cada uno.
Apple expandió su programa de recompensas de errores en diciembre para aceptar vulnerabilidades en más de sus productos y servicios, como parte de un deshielo más amplio de su relación con los investigadores de seguridad externos. El cambio ya está beneficiando a los usuarios, sin mencionar al propio Pickren. Él dice que recibió $ 75,000 de Apple por la presentación.