Programas para gestionar contraseñas en dispositivos móviles presentan riesgo que facilitaría a ciberdelincuentes sustraer credenciales de acceso.
08/10/18 | Por Noticias TNE
De acuerdo a un estudio realizado por la Universidad de Génova, en Italia, y el equipo de seguridad de Eurocom, se determinó la existencia de un riesgo que pone en jaque a los gestores de passwords utilizados en el sistema operativo (SO) Android al tener dificultades para diferenciar entre aplicaciones legítimas y falsas, lo que permite la fácil propagación de campañas de phishing.
Los investigadores encontraron que los administradores de contraseñas para dispositivos móviles no son tan seguros como las versiones destinadas a equipos de escritorio, ya que el análisis realizado demostró que estos programas tuvieron dificultades para asociar las credenciales del usuario almacenadas con una app y luego enlazarlas entre el sitio y la aplicación oficial.
La mayoría de los gestores de passwords utilizan un paquete de apps basadas en Android para establecer una conexión con la URL de una página de internet y posteriormente asocia las credenciales del usuario en la app. Sin embargo, dentro del ecosistema de dicho SO, los paquetes no son confiables, debido a que pueden ser falsificados por hackers. Esto puede derivar en situaciones donde se apruebe la información de seguridad para luego ser asociada al sitio legítimo. Así los ciberdelincuentes pueden obtener los datos de acceso.
Entre los principales administradores de contraseñas que mostraron ser vulnerables se encuentran Keeper, Dashlane, LastPass y 1Password, siendo propensos a solicitar a los usuarios a utilizar el autollenado en aplicaciones falsas, de acuerdo a las pruebas realizadas. Según el estudio, la aplicación Smart Lock de Google no pudo ser engañada porque integra el sistema Digital Asset Links para autenticar y conectar las apps a un servicio particular.
Tras darse a conocer los resultados, algunos de los involucrados brindaron respuesta, como tal es el caso de Keeper y LastPass. Ambos aclararon haber resuelto la vulnerabilidad y continúan trabajando para mantener la seguridad de sus usuarios.
Descubren malware indestructible
Una investigación realizada por la firma de seguridad ESET descubrió un programa malicioso denominada LoJax que, una vez instalado y almacenado en la memoria flash, se vuelve indetectable e indestructible, esto incluso tras reemplazar el disco duro o restaurar el sistema operativo.
A pesar de su peligrosidad, el malware puede ser eliminado si se inicia la computadora en modo seguro, así el sistema se cerciora de que cada componente del firmware se inicie correctamente. Como segunda medida, es necesario instalar una actualización de la Interfaz de Firmware Extensible Unificada (UEFI, por sus siglas en inglés); no obstante, esto no es sencillo, ya que debe ser firmada por el propietario de dicho elemento, por lo que no es responsabilidad propiamente del usuario, sino de los responsables del UEFI/BIOS.
Es buena noticia de que esta vulnerabilidad haya sido detectada; sin embargo, los niveles de alerta deben mantenerse, porque los ciberdelicuentes no dudarán en querer aprovechar dicho programa malicioso para cometer sus ilícitos.
Te puede interesar también:
“Empresas renuentes a implementar esquemas de ciberseguridad”
