Alerta por "entraderas" virtuales de ciberdelincuentes a hogares vía cámaras web y Smart TVs

Los usuarios de computadoras y, en menor medida, teléfonos móviles "inteligentes" y tabletas tienen conocimiento de la existencia de virus y códigos maliciosos informáticos que afectan la seguridad de esos dispositivos.

Algunos de ellos tienen además conciencia y los protegen con software, cortafuegos, contraseñas robustas y buenas prácticas.

Sin embargo, existen otros equipos en el hogar que se conectan a Internet y que por vulnerabilidades y defectos en su seguridad que vienen de fábrica abren puertas para que ciberdelincuentes realicen "entraderas" en las casas de los usuarios.

Un ejemplo reciente de ello es una cámara web, paradójicamente una herramienta de seguridad para hogares y oficinas, pero que sufre múltiples vulnerabilidades de… seguridad.

Eset, una compañía especializada en detección proactiva de amenazas, presentó una investigación, a la que accedió iProfesional, donde revela que la cámara en la nube D-Link DCS-2132L tiene estos problemas.

Estas fallas permiten a un atacante interceptar y ver los registros de video, sino también manipular el sistema que se desarrolla para establecer un lazo entre el hardware y el software ("firmware", en inglés) de los dispositivos. Sobre la base de la información divulgada, el fabricante mitigó algunas de las vulnerabilidades informadas, pero otras aún no están resueltas, advirtió Eset.

"El problema más grave con la cámara inteligente D-Link DCS-2132L es la transmisión sin cifrar de video. En ambas conexiones, entre la cámara y la nube, y entre la nube y la aplicación de visualización del lado del cliente, la transmisión se ejecuta sin cifrar, proporcionando un terreno fértil para los ataques de hombre en el medio (MitM, sigla en inglés) y permitiendo a los intrusos espiar las secuencias de video de las víctimas.", explicó Milan Fránik, investigador con sede en el laboratorio de Eset en la ciudad eslovaca de Bratislava.

Otro problema que se encontró en la cámara estaba oculto en el complemento del navegador web "servicios myDlink".  Esta es una de las formas de la aplicación de visor disponible para el usuario, otros incluyen aplicaciones móviles, que no formaron parte de la investigación de Eset.

El complemento del navegador web administra la creación del túnel TCP y la reproducción de video en vivo en el navegador del cliente, pero también es responsable de reenviar las solicitudes de los flujos de datos de audio y video a través de un túnel, que escucha en un puerto generado dinámicamente en el host local.

"La vulnerabilidad de los complementos podría haber tenido graves consecuencias para la seguridad de la cámara, ya que hizo posible que los atacantes reemplazaran el firmware legítimo con su propia versión falsificada", mencionó Fránik.

La empresa reportó todas las vulnerabilidades encontradas al fabricante. Algunas de las fallas, principalmente en el complemento myDlink, fueron mitigadas y parcheadas a través de la actualización, pero persisten los problemas con la transmisión sin cifrar.

Televisores inteligentes pero inseguros

Otra puerta de entrada son los televisores "inteligentes" o Smart TV, que adquieren mayores funcionalidades, y por lo tanto la cantidad y la sensibilidad de los datos que manejan es cada vez más relevante para el mundo del cibercriminal.

Cuantos más usuarios adquieren esta tecnología, los atacantes encuentran más incentivo para diseñar nuevas formas de sacar provecho de la Internet de las cosas. Según la consultora Statista, en 2018 se vendieron más de 114 millones de televisores inteligentes alrededor del mundo. De acuerdo a otra consultora, IHS Markit, este volumen representaría el 70% de todos los televisores vendidos durante ese año.

"El hecho de que la mayoría de los televisores inteligentes corran hoy alguna distribución basada en Android implica la conformación de un ambiente donde es más sencillo para los atacantes generar códigos maliciosos capaces de afectar equipos de un diverso abanico de fabricantes, facilitando la transición del malware que actualmente existe para plataformas móviles a sistemas operativos para televisores", explicó Denise Giusto Bilic, especialista en seguridad informática de Eset Latinoamérica y autora del informe "Smart TV: ¿una puerta trasera en nuestro hogar?", cuyo resumen la empresa compartió con iProfesional.

Los cibercriminales persiguen un objetivo con sus campañas maliciosas: la generación de dinero. Para ello, requieren de información capaz de vender, datos para poder extorsionar a sus víctimas, equipos para secuestrar o capacidad de procesamiento para utilizar. Los televisores inteligentes cuentan con todas estas características, lo que los vuelve un blanco atractivo.

Dentro del informe desarrollado por la compañía, se menciona que las técnicas que se pueden usar para ejecutar algún código malicioso en el entorno de la víctima son la ingeniería social, vulnerabilidades, malas configuraciones y ataques físicos. Estas metodologías permiten a los atacantes ganar control del equipo.

En 2016 hubo usuarios afectados por el secuestro de televisores a través de "ransomware" para Android, como variantes de Simplocker o el "virus de la policía". ADB.Miner, un malware orientado a la minería de criptomonedas, evolucionó para instalarse sin ayuda del usuario mediante configuraciones de depuración habilitadas por defecto.

"Aunque las vulnerabilidades se parcheen y los usuarios se eduquen para la detección de estafas, muchos televisores continúan encontrándose en espacios vulnerables, donde pueden ser alcanzados físicamente por terceros –por ejemplo, en la sala de espera de una oficina o en una sala de estar donde se suelen realizar eventos repletos de extraños–. En particular, los puertos USB pueden ser utilizados para la ejecución de scripts maliciosos o la explotación de vulnerabilidades", destacó Giusto Bilic.

Los atacantes pueden automatizar de varias maneras acciones maliciosas basadas en la interacción con la interfaz de usuario y ejecutar el ataque en pocos segundos simplemente conectando un dispositivo similar en apariencia a una memoria USB.

Prevenciones

De manera de estar protegidos desde el laboratorio de investigación de Eset Latinoamérica divulgaron las siguientes medidas preventivas para mitigar los ataques a televisores inteligentes:

- Contar con alguna solución de seguridad: Estas ofrecen protección contra amenazas para Smart TV, en particular, para aquellas distribuciones basadas en Android, además de módulos capaces de prevenir infecciones por malware y de detectar páginas fraudulentas para bloquear el acceso a ellas (funcionalidad denominada antiphishing). Otra capa de protección que deben incluir estas soluciones es la de protección de los puertos USB, para evitar que los códigos maliciosos puedan colarse mediante estos conectores

- Configurar los dispositivos: Reforzar los ajustes del dispositivo para asegurarse de no dejar huecos de seguridad es una de las primeras precauciones a tomar al adquirir un televisor inteligente. Restringir los orígenes desconocidos, verificar aplicaciones, no mostrar las contraseñas, crear perfil restringido, automatizar las actualizaciones, configurar la Google Play Store, deshabilitar la depuración y la recolección de datos por defecto, son los principales puntos a tener en cuenta a la hora de configurar la seguridad de un dispositivo de streaming.

- Reforzar la seguridad de la red: Si bien configurar correctamente el dispositivo ayuda, no alcanza sin construir un entorno de red seguro. Para proteger los televisores, es importante asegurarse de que el router utilice protocolos seguros y credenciales fuertes, y que su firmware no presente vulnerabilidades.

- Protección física: Para los equipos que se encuentren en espacios vulnerables –por ejemplo, en la sala de espera de una oficina o espacios públicos–, se debe tener en cuenta la protección de las entradas físicas del dispositivo –del mismo modo que con cualquier otro dispositivo de red–, tanto de red como de USB. Para ello, se puede activar la protección mediante soluciones de seguridad o, en el caso de las TV boxes, en cajas acrílicas con cerrojo.

Para proteger los puertos USB se puede utilizar escudos, gadgets que se colocan entre el televisor y cualquier unidad externa que vaya a conectarse a él, que impiden cualquier ejecución indeseada de código. A su vez, es recomendable tapar la cámara del televisor inteligente cuando no se la está utilizando.