- En Beer-Sheva, la capital mundial de la ciberseguridad, un experto demuestra que los dispositivos móviles tienen una vulnerabilidad que nadie había notado.
Beer-Sheva, Israel, 01 de julio de 2017.- Los celulares de última generación cuentan con sistemas operativos más seguros y hay varios antivirus para instalar, lo que hace cada vez más difícil que un ciberdelincuente robe información; sin embargo, ninguna compañía se ha preocupado por el hardware —las piezas físicas—, donde han dejado una ventana abierta para los hackers, explicó Omer Shwartz, investigador de la Universidad Ben-Gurion de Negev.
El alumno de posdoctorado de dicho centro de estudios, que se encuentra en Beer-Sheva, una ciudad al sur de Israel considerada la capital mundial de la investigación cibernética, realizó un estudio en el que demostró que a través de la touchscreen (pantalla táctil) es sumamente fácil intervenir un teléfono sin dejar rastro alguno.
“De hecho, es posible que ya haya sucedido, pero no hay manera de saberlo, porque las piezas periféricas del artefacto trabajan directamente sobre la memoria del teléfono y no existe sistema alguno que pueda darse cuenta de que hay un hacker que tomó el control del teléfono”, explicó en una conferencia.
RIESGO INADVERTIDO
Para que un hacker utilice el hardware como puerta de entrada tiene que lograr contacto físico; esa es la mayor dificultad; no obstante, Shwartz explicó que hay cientos de oportunidades en las que el teléfono o una pieza de repuesto pueden haber estado en manos equivocadas.
Remplazar las pantallas es muy común. “No sé si en los demás países sea igual, pero en Israel cuando a alguien se le descompone o se le rompe, suele llevar el artefacto a cualquier local que se encuentre en la calle o comprar la refacción en portales como e-Bay. No sabes de dónde viene el repuesto, además de que en distintos puntos de la cadena de suministro la pantalla puede ser remplazada por una maliciosa”, detalló.
Al especialista le tomó apenas un par de horas darse cuenta de una vulnerabilidad en el código que utiliza la pantalla para interactuar con un teléfono, además de que eso es similar en todas las marcas y tipos de dispositivos móviles.
Durante la investigación —que ya fue revisada, autorizada y se va a publicar en agosto—, Shwarts fue capaz de tomar el control del teléfono, descargar la información que contiene e incluso usar la cámara y mandarse fotos por correo, borrando al final toda huella del ataque.
“Incluso los teléfonos de presidentes, que son los más seguros del mundo, no toman en cuenta esta vulnerabilidad y pueden ser intervenidos fácilmente”, aseguró en el contexto de la Cyber Week que se celebra esta semana en Israel.
DOS ATAQUES
La investigación se centró en intervenir un celular y una tablet, lo que logró con un chip cuadrado y plano que mide apenas dos milímetros, donde se encuentra un programa malicioso que es indetectable.
Esos chips, “son componentes electrónicos muy baratos, capaces de manipular todos los datos que salgan en la pantalla. Puedes hacer lo que se te antoje; una vez que se inicia el teléfono con la pantalla hackeada logramos hacer dos ataques. El primero es muy obvio al tratarse de la touchscreen: grabar lo que escribe el usuario e incluso escribir lo que queramos”, señaló Shwartz.
En segundo ataque, abundó, “es algo más sofisticado, porque intervenimos el sistema operativo de manera oculta con otra vulnerabilidad que hallamos y nos dio acceso completo. Todo sin que el usuario se dé cuenta y sin dejar huellas, porque todo se hace en la memoria y ningún antivirus es efectivo contra eso”.
Además, destacó, no se puede eliminar la amenaza. “Si vas a la tienda y le dices a un técnico que tu teléfono se volvió loco, él va a reformatearlo y resetearlo con la configuración de fábrica, pero el dispositivo seguirá hackeado. Si regresas nadie te va a creer que tu teléfono se volvió loco, lo que van a creer es que tú eres el que está loco”.
El investigador mostró cómo con ese tipo de intervención también se puede instalar aplicaciones o hacer que el celular tome fotos, las envíe al atacante y borre todas las huellas: “Si vas con soporte técnico y dices que tu celular te tomó una selfie y se la mandó a un desconocido, nadie te va a creer”, aseguró.
Shwartz concluyó que su investigación pretende demostrar a los fabricantes que necesitan tener más cuidado con los códigos que usan para que funcione el hardware.
Gabriel Bolio | Milenio
