Especialistas de una firma de auditoría de sistemas de información han reportado el hallazgo de múltiples vulnerabilidades en Find My Mobile, una herramienta precargada en los smartphones de Samsung para ayudar a los usuarios a encontrar sus dispositivos extraviados. La aplicación también puede emplearse para bloquear un smartphone de forma remota y acceder a Samsung Pay.
Las fallas reportadas podrían comprometer por completo un dispositivo afectado, así lo reveló un investigador de la firma Char49, con sede en Portugal, durante el evento DEF CON. El investigador informó un total de cuatro vulnerabilidades en los componentes de Find My Mobile que podrían haber sido explotadas por una aplicación maliciosa instalada en un dispositivo vulnerable.
Pedro Umbelino, el experto en auditoría de sistemas de información encargado del hallazgo, asegura que la app maliciosa sólo requiere acceso a la tarjeta SD del dispositivo para explotar la primera falla y generar una cadena de ataque que le permita a los actores de amenazas crear un archivo capaz de interceptar las comunicaciones con los servidores back-end.
“Si las configuraciones requeridas se encuentran habilitadas, la falla es fácil de explotar y el ataque generaría consecuencias desastrosas, como denegación de servicio permanente, pérdida de los datos almacenados en el dispositivo (incluyendo la información almacenada en la tarjeta SD), detección de clave IMEI, entre otros escenarios”, menciona el investigador.
Según el reporte, la explotación exitosa de estas fallas permitiría a los actores de amenazas realizar cualquier acción disponible en Find My Mobile, incluyendo el reinicio remoto del dispositivo en tiempo real, extracción de historial de llamadas y bloqueo del dispositivo. El ataque es completamente factible en dispositivos Samsung Galaxy S7, S8 y S9+.
El fabricante recibió el reporte y las fallas fueron corregidas a la brevedad, por lo que el riesgo ya debe haber sido mitigado.
Un grupo de investigadores de una firma de auditoría de sistemas de información asegura que las fallas fueron reportadas hace casi un año, aunque Samsung las corrigió hasta finales de 2019, además de que el investigador tuvo que esperar 9 meses para divulgar los detalles de esta falla.
Los especialistas creen que la aplicación no debería tener componentes arbitrarios disponibles públicamente y en un estado exportado, pues esta clase de prácticas son las que están esperando encontrar los actores de amenazas para ejecutar toda clase de ataques.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
