Un 'bug' de hace 20 años afecta a todos los Windows (incluido el 10)

Un bug que permite robar contraseñas a cualquier versión de Windows, afecta a más de 30 empresas y que, aunque existe desde hace 18 años, todavía no tiene solución. Es lo que acaba de descubrirel grupo CERT, que investiga vulnerabilidades informáticas en la Universidad Carnegie Mellon.

El fallo ha sido bautizado como "redirección a SMB", debido al protocolo Server Message Block implicado. La vulnerabilidad afecta a todas las versiones de Windows, tanto de tabletas como de ordenadores y servidores. Ni siquiera las versiones de prueba deWindows 10, que todavía no ha sido lanzado oficialmente, se libran.

Respecto a los programas afectados, la lista incluye el software de 31 empresas, con programas implicados como Adobe Reader, iTunes, QuickTime, Internet Explorer, Norton, Windows Media Player, Excel y un largo etcétera.

'Microsoft no solucionó el problema descubierto en 1997. Esperamos que nuestra investigación les obligue a reconsiderar las vulnerabilidades'

El equipo de expertos del CERT ha revelado esta amenaza y explican que actualmente desconocen una solución, ya que debería ser Microsoft quien lanzara un parche para arreglar el bug. De momento aseguran que llevan seis semanas trabajando con las compañíasafectadas para ayudar a mitigar los posibles daños del descubrimiento.

A la espera de soluciones oficiales por parte de Microsoft, sí que dan consejos para evitar riesgos.Según ellos, lo más sencillo es bloquear el tráfico saliente de los puertos 139 y 445, correspondientes al protocolo SMB. Así se impiden conexiones indeseadas y el robo de datos resulta imposible.

Curiosamente, el fallo se basa en una vulnerabilidad descubierta en 1997, hace ya 18 años, y que afectaba a Internet Explorer. El bug original, que a pesar de su mayoría de edad todavía existe, permitía robar los datos de usuario a través del protocolo SMB. Según esta vulnerabilidad, cuando se cambiaba el protocolo HTTP habitual de cualquierdirección por la palabra file, provocaba que el sistema se autentificara mediante SMB con la IP de 1.1.1.1. Por lo tanto, sólo había que conseguir que la víctima abriera uno de estos links envenenadospara dar el primer paso hacia el robo de información personal.

La lista de programas implicados incluye Adobe Reader, iTunes, QuickTime, Internet Explorer, Norton, Windows Media Player, Excel y un largo etcétera

Por suerte este fallo sólo tenía lugar en Internet Explorer. El problema es que el equipo del CERT ha descubierto, casi por azar, que cuatro APIs de Windows (interfaces utilizadas para crear aplicaciones para dicho sistema operativo) ostentan este bug. En otras palabras: el peligro sale del explorador de Microsoft para adentrarse en cualquier programa que se haya desarrollado utilizando dichas APIs. De ahí que la lista de software afectado sea tan larga.

Este riesgo se traduce en que, si un atacante obtuviera cierto control sobre el tráfico de datos de la víctima, podría obtener datos sensibles con relativa facilidad. Hace falta, eso sí, que en primer lugar se lleve a cabo un ataque man-in-the-middle, en el que se intercepta la transmisión de datos entre la víctima y el servidor auténtico sin que esta se dé cuenta. Esto quiere decir que si nos conectamos en una wifi pública, no sería difícil para un hackerhacerse con nuestros nombres de usuario y contraseña de servicios como iTunes si este comienza a actualizarse.

Una encriptación obsoleta

Los investigadores aseguran que los datos robados de esta forma estarían encriptados, pero mediante un método ideado en 1998, “débil para los estándares actuales”. Sugieren que un algoritmo más fuerte limitaría en gran medida los daños de este fallo, pero que la forma más segura de acabar con el bug sería desactivar las autentificaciones automáticas con servidores SMB que no sean de confianza.

La encriptación de 1998 es tan obsoleta que un supuesto atacante podría obtener una contraseña de ocho letras y números en menos de medio día mediante fuerza bruta. Por eso también recomiendan aumentar la seguridad de los códigos y renovarlos con frecuencia.

“Microsoft no solucionó el problema descubierto en 1997. Esperamos que nuestra investigación les obligue a reconsiderar las vulnerabilidades”, concluyen los investigadores.