Las vulnerabilidades en los sistemas operativos que usamos están a la orden del día. Es imposible hacerlos seguros al 100%, sobre todo en el caso de Windows. Ahora, una nueva vulnerabilidad encontrada en muchos drivers permite hackear Windows y Linux con simples periféricos.

La vulnerabilidad ha sido descubierta por investigadores de Eclypsium, quienes encontraron drivers sin firmar de adaptadores WiFi, dongles USB, trackpads, y cámaras que se usaban en ordenadores y servidores de Dell, HP, Lenovo y otros fabricantes. Dependiendo del dispositivo, pueden aprovechar una u otra vulnerabilidad.

Por ejemplo, para los adaptadores de red, pueden capturar y alterar el tráfico de red, mientras que con dispositivos PCI pueden robar información o tomar el control del sistema. En el caso de las cámaras, pueden grabar imágenes y sonido sin que el usuario se dé cuenta. Ahí, pueden decidir si enviárselo a sí mismos por red o copiarlo a un disco duro externo o memoria USB. Desde estos últimos también pueden ejecutar código malicioso que quede totalmente al margen de las comprobaciones de seguridad del sistema.

En general, el problema reside en que, si un componente no requiere que el driver tenga un firmware firmado, un atacante puede tomar el control de ese componente con facilidad sin necesitar privilegios especiales, ya que no hay ningún mecanismo de control que determine si se está ejecutando un driver modificado.

HP, Lenovo o Dell, afectados

Entre los drivers vulnerables que han detectado se encuentran los siguientes:

• Touchpad y Trackpoint en el Lenovo ThinkPad X1 Carbon de 6ª generación: firmware actualizable sin comprobaciones de seguridad
• HP Wide Vision FHD en el HP Spectre x360 Convertible 13-ap0xxx: firmware sin cifrar y sin comprobaciones de seguridad.
• Adaptador WiFi del Dell XPS 15 9560: firmware modificado a pesar de que Windows 10 comprueba si están firmados
• USB Hub: firmware VLI USB Hub no firmado en Linux

Aunque algunos de estos elementos fueron comprobados en modelos concretos, otros modelos también se encuentran afectados. Además, algunos no pueden ni arreglarse, donde Lenovo afirma que no puede hacer nada porque no ese componente no tiene un sistema de actualización ni de detección de firmware, mientras que HP está trabajando en actualizar el firmware, así como que modelos de cámaras de futuros modelos tendrán todos los drivers firmados.

En el caso del Dell XPS, no hay manera de saber quién tiene la culpa, si Dell o Qualcomm, que es el que hace el chipset y el driver. Qualcomm, por su parte, echa la culpa a Microsoft, y Microsoft dice que tiene que ser el fabricante el encargado de protegerlo, siendo esto último lo más lógico.

Como prueba final, realizaron un ataque contra un servidor con una tarjeta de red (NIC) con chipset Broadcom BCM5719 y un driver sin firmar. Esta tarjeta de red se usa mucho en servidores, y no realiza comprobaciones, siendo ideal para la prueba. Al cargar un firmware personalizado, consiguieron analizar los paquetes de red, pudiendo alterar el tráfico en tiempo real y redirigir el tráfico hacia otro servidor que esté bajo su total control sin que nadie se dé cuenta. Además, también pueden saltarse los antivirus, la CPU y el sistema operativo y acceder directamente a la memoria para obtener datos sensibles como contraseñas.

Windows y Linux sólo comprueban las firmas de drivers y firmware cuando éstos se instalan, mientras que macOS lo hace cada vez que se ejecutan para prevenir este tipo de ataques. Sin embargo, con Windows y Linux, al no tener muchos de ellos estos mecanismos, esto implica que serán vulnerables para siempre.