Los piratas informáticos pueden convertir AirTags en máquinas de phishing con este simple exploit

manzana

Los últimos problemas de seguridad de Apple son devastadores y ridículos. La semana pasada, supimos que la compañía parchó un exploit de macOS de la manera más perezosa posible, y ahora, la compañía enfrenta una reacción violenta por una vulnerabilidad de AirTags de aficionados que se conoce desde hace meses y nunca se molestó en solucionar.

AirTags no desinfectan los "números de teléfono"

AirTags son pequeños rastreadores que se adhieren a mochilas, carteras, equipaje y otros objetos de valor. Si alguien pierde su bolso equipado con AirTag, puede rastrear su ubicación utilizando la red Find My, que funciona de forma anónima con iPhones y otros dispositivos Apple.

Pero la mayoría de las veces, extraños encuentran artículos perdidos. Es por eso que AirTags tiene un "modo perdido", una configuración que permite a los buenos samaritanos escanear el rastreador para ver el número de teléfono de su propietario. Escanear es fácil: solo toca el AirTag con su iPhone.

Desafortunadamente, una falla de diseño en AirTags podría convertir a los rastreadores en herramientas baratas para ataques directos. Como descubrió el investigador de seguridad Bobby Rauch, Apple no desinfecta el campo de entrada del número de teléfono que los propietarios de AirTag completan cuando configuran sus rastreadores. Puede pegar cualquier cosa en este campo de entrada, incluido el código malicioso.

Y ese es un gran problema. Cuando escanea un AirTag perdido, le da el "número de teléfono" de su propietario a su iPhone. Luego, su iPhone incrusta el "número de teléfono" en una página web https://found.apple.com/. Entonces, si el campo del número de teléfono de un AirTag perdido está lleno de código XSS malicioso, el sitio web de Apple lo incrustará, sin hacer preguntas.

Esta vulnerabilidad hace que los intentos de phishing dirigidos sean extremadamente fáciles. Un pirata informático puede programar un cuadro de inicio de sesión falso de iCloud para que aparezca cuando se escanea su AirTag "perdido", por ejemplo. Luego, podrían colocar este AirTag cerca del automóvil de la víctima o de la puerta de entrada para asegurarse de que sea descubierto y escaneado.

Los piratas informáticos también podrían usar esta vulnerabilidad para desencadenar exploits de día cero basados ​​en el navegador en un iPhone. Estos exploits podrían colapsar o bloquear su iPhone, pero para ser justos, tal exploit no beneficiaría realmente a un pirata informático (y hay formas mucho más fáciles de entregar tales exploits).

Apple pasó meses sentado en sus manos

Bobby Rauch, el investigador que descubrió esta vulnerabilidad, lo informó a Apple el 20 de junio. La compañía pasó tres meses diciéndole a Rauch que estaba investigando el problema y se negó a decirle si recibiría crédito o una recompensa por su descubrimiento (estas son recompensas estándar por seguir el programa de recompensas por errores de Apple ).

Apple le pidió a Rauch que no "filtrara" el error, pero se negó a trabajar con él o proporcionar una línea de tiempo para un parche. Advirtió a la compañía que haría pública la vulnerabilidad después de 90 días, y finalmente lo hizo en una publicación de blog de Medium. Aún así, Apple no ha comentado sobre el problema públicamente, aunque previamente le dijo a Rauch que tiene la intención de solucionar el problema.

Técnicamente hablando, esto debería ser una solución muy fácil. Apple no necesita impulsar una actualización para iPhone o AirPods; solo necesita hacer que la página web https://found.apple.com/ desinfecte los "números de teléfono" entrantes. Pero espero que Apple tome las medidas necesarias para resolver completamente este problema. La compañía sigue cometiendo errores estúpidos y lanza parches a medias para cosas que deberían haber sido seguras en el lanzamiento.

Sin mencionar que Apple se niega a comunicarse con las personas que intentan informar problemas a través de su programa oficial de recompensas por errores. Si Apple se toma en serio la seguridad, debe abordar las vulnerabilidades del software rápidamente y comenzar a tratar a los expertos en seguridad con respeto. Después de todo, muchos de estos expertos en seguridad están haciendo el trabajo de Apple de forma gratuita.

¿Es seguro escanear AirTags?

Esta noticia no debería desanimarlo de escanear AirTags, aunque debería hacerlo más atento. Si se le pide que inicie sesión en iCloud o en otra cuenta después de escanear un AirTag, por ejemplo, entonces algo sucede: Apple no solicita ninguna información de inicio de sesión cuando se escanea un AirTag legítimo.

Un AirTag que se deja solo también es una bandera roja… más o menos. Debido a que estos rastreadores no tienen bucles de llavero incorporados, pueden salirse de las bolsas o escapar de las fundas baratas. En la mayoría de los casos, un AirTag solitario es el resultado de un descuido.

De todos modos, nadie te obliga a escanear AirTags. Si encuentra un artículo perdido con un AirTag y no se siente cómodo escaneándolo, puede llevarlo a la Apple Store (o a una estación de policía, supongo) y convertirlo en su problema. Solo sepa que probablemente no haya ningún daño en escanearlo, siempre y cuando no escriba ninguna información de inicio de sesión en la ventana emergente del navegador AirTags.

Fuente: Bobby Rauch a través de Krebs on Security, Ars Technica