en

en

Armis Labs reveló un nuevo vector de ataque que pone en peligro los principales sistemas operativos móviles, de escritorio y IoT, incluyendo Android, iOS, Windows y Linux, y los dispositivos que los utilizan. El nuevo vector se denomina "BlueBorne", ya que se propaga a través del aire (aerotransportado) y ataca a los dispositivos a través de Bluetooth. Armis también ha revelado ocho vulnerabilidades relacionadas con el día cero, cuatro de las cuales se clasifican como críticas. BlueBorne permite a los atacantes tomar el control de los dispositivos, acceder a los datos corporativos y las redes, penetrar en las redes seguras de "acceso a Internet" y propagar el malware lateralmente a los dispositivos adyacentes. Armis reportó estas vulnerabilidades a los actores responsables y está trabajando con ellos a medida que se están identificando y liberando parches.

 

¿Qué es BlueBorne?

1

BlueBorne es un vector de ataque por el que los hackers pueden aprovechar las conexiones Bluetooth para penetrar y tomar el control total sobre los dispositivos de destino. BlueBorne afecta a ordenadores ordinarios, teléfonos móviles, y el ámbito en expansión de los dispositivos IoT. El ataque no requiere que el dispositivo de destino se empareje con el dispositivo del atacante, o incluso que se establezca en modo detectable. Armis Labs ha identificado ocho vulnerabilidades de día cero hasta el momento, que indican la existencia y el potencial del vector de ataque. Armis cree que muchas más vulnerabilidades aguardan el descubrimiento en las distintas plataformas con Bluetooth. Estas vulnerabilidades son completamente operativas y pueden ser explotadas con éxito, como se demuestra en nuestra investigación. El vector de ataque BlueBorne puede utilizarse para llevar a cabo una amplia gama de delitos, incluyendo la ejecución remota de código, así como ataques Man-in-The-Middle.

 

¿Cuál es el riesgo?

El vector de ataque BlueBorne tiene varias cualidades que pueden tener un efecto devastador cuando se combinan. Al extenderse por el aire, BlueBorne se enfoca en el punto más débil de la defensa de las redes, y el único que no protege ninguna medida de seguridad. La difusión de un dispositivo a otro a través del aire también hace que BlueBorne sea altamente contagioso. Además, dado que el proceso Bluetooth tiene altos privilegios en todos los sistemas operativos, explotarlo proporciona un control prácticamente total sobre el dispositivo.

Desafortunadamente, este conjunto de capacidades es extremadamente deseable para un hacker. BlueBorne puede servir cualquier objetivo malicioso, como el espionaje cibernético, el robo de datos, el ransomware, e incluso la creación de botnets grandes fuera de los dispositivos de IoT como el Botnet Mirai o dispositivos móviles como con la reciente Botnet WireX. El vector de ataque BlueBorne supera las capacidades de la mayoría de los vectores de ataque al penetrar en redes seguras de "redes de aire" que están desconectadas de cualquier otra red, incluida Internet.

 

¿Qué tan amplia es la amenaza?

El vector de ataque BlueBorne puede afectar potencialmente a todos los dispositivos con capacidades Bluetooth, estimados en más de 8.200 millones de dispositivos en la actualidad. Bluetooth es el protocolo líder y más extendido para comunicaciones de corto alcance, y es utilizado por dispositivos de todo tipo, desde computadoras regulares y dispositivos móviles hasta dispositivos IOT como televisores, relojes, automóviles e incluso aparatos médicos. Los últimos informes publicados muestran más de 2 mil millones de Android, 2 mil millones de Windows y 1 millón de dispositivos de Apple en uso. Gartner informa que hay 8 billones conectados o dispositivos IoT en el mundo de hoy, muchos de los cuales tienen Bluetooth.

 

¿Qué hay de nuevo en BlueBorne?

Un nuevo vector de ataque aéreo

BlueBorne nos concierne por el medio por el cual opera. A diferencia de la mayoría de los ataques de hoy, que dependen de Internet, un ataque BlueBorne se propaga por el aire. Esto funciona de manera similar a las dos vulnerabilidades menos extensas descubiertas recientemente en un chip Wi-Fi de Broadcom por Project Zero y Exodus. Las vulnerabilidades que se encuentran en los chips Wi-Fi sólo afectan a los periféricos del dispositivo y requieren otro paso para controlar el dispositivo. Con BlueBorne, los atacantes pueden obtener el control total desde el principio. Además, Bluetooth ofrece una superficie atacante más amplia que WiFi, casi totalmente inexplorada por la comunidad de investigación y por lo tanto contiene muchas más vulnerabilidades.

Los ataques aéreos, por desgracia, proporcionan una serie de oportunidades para el atacante.

  • En primer lugar, la propagación a través del aire hace que el ataque sea mucho más contagioso, y le permite propagarse con el mínimo esfuerzo.
  • Segundo, permite que el ataque evite las medidas de seguridad actuales y permanezca sin ser detectado, ya que los métodos tradicionales no protegen de las amenazas aerotransportadas. Los ataques aéreos también pueden permitir que los piratas informáticos penetren en redes internas seguras que son "filtradas", lo que significa que están desconectadas de cualquier otra red para protección. Esto puede poner en peligro los sistemas industriales, las agencias gubernamentales y la infraestructura crítica.
  • Por último, a diferencia del malware tradicional o de los ataques, el usuario no tiene que hacer clic en un enlace o descargar un archivo cuestionable. Ninguna acción del usuario es necesaria para permitir el ataque

Una amenaza amplia y severa

El vector de ataque BlueBorne no requiere interacción del usuario, es compatible con todas las versiones de software y no requiere ninguna precondición o configuración aparte de que el Bluetooth esté activo. A diferencia de la idea errónea común, los dispositivos habilitados para Bluetooth buscan constantemente conexiones entrantes desde cualquier dispositivo, y no sólo con aquellos con los que se han emparejado. Esto significa que se puede establecer una conexión Bluetooth sin emparejar los dispositivos en absoluto. Esto hace que BlueBorne sea uno de los ataques potenciales más amplios encontrados en los últimos años, y permite que un atacante ataque completamente sin ser detectado.

Vulnerabilidades de la próxima generación de Bluetooth

En el pasado, la mayoría de las vulnerabilidades de Bluetooth y las fallas de seguridad se originaron en problemas con el propio protocolo, que se resolvieron en la versión 2.1 en 2007. Casi todas las vulnerabilidades encontradas fueron de baja severidad y no permitieron la ejecución remota de código. Esta transición ocurrió cuando la comunidad de investigación dio la vuelta a los ojos en otros lugares y no examinó las implementaciones del protocolo Bluetooth en las diferentes plataformas, como lo hizo con otros protocolos importantes.

Bluetooth es un protocolo difícil de implementar, lo que hace que sea propenso a dos tipos de vulnerabilidades. Por un lado, es probable que los proveedores sigan las pautas de implementación del protocolo palabra por palabra, lo que significa que cuando una vulnerabilidad se encuentra en una plataforma, podría afectar a otros. Estas vulnerabilidades reflejadas ocurrieron con CVE-2017-8628 y CVE-2017-0783 (Windows y Android MiTM) que son "gemelos idénticos". Por otro lado, en algunas áreas, las especificaciones de Bluetooth dejan mucho espacio para la interpretación, lo que provoca la fragmentación de los métodos de implementación en las distintas plataformas, lo que hace que cada uno de ellos tenga una mayor vulnerabilidad.

Esta es la razón por la cual las vulnerabilidades que componen BlueBorne se basan en las diversas implementaciones del protocolo Bluetooth, y son más frecuentes y severas que las de los últimos años. Nos preocupa que las vulnerabilidades que encontramos son sólo la punta del iceberg, y que las distintas implementaciones del protocolo en otras plataformas pueden contener vulnerabilidades adicionales.

Una Divulgación Coordinada

Armis se dirigió a los siguientes actores para asegurar una respuesta segura, segura y coordinada a las vulnerabilidades identificadas.

  • Google - contactado el 19 de abril de 2017, después de que los detalles fueron compartidos. Publicación de seguridad pública y boletín de seguridad publicados el 4 de septiembre de 2017. Divulgación coordinada el 12 de septiembre de 2017.
  • Microsoft - contactado el 19 de abril de 2017 después de que los detalles fueron compartidos. Las actualizaciones se hicieron el 11 de julio. Divulgación pública el 12 de septiembre de 2017 como parte de la divulgación coordinada.
  • Apple - contactado el 9 de agosto de 2017. Apple no tenía vulnerabilidad en sus versiones actuales.
  • Samsung - Contacto en tres ocasiones separadas en abril, mayo y junio. No se recibió ninguna respuesta de ninguna extensión.
  • Linux - Contactado el 15 y 17 de agosto de 2017. El 5 de septiembre de 2017, nos conectamos y proporcionamos la información necesaria al equipo de seguridad del kernel de Linux ya la lista de contactos de seguridad de distribuciones de Linux y las conversaciones seguidas desde allí. Orientación de las actualizaciones para el 12 de septiembre de 2017 o aproximadamente para divulgación coordinada.

¿Qué dispositivos están afectados para el usuario de Linux?

Linux es el sistema operativo subyacente para una amplia gama de dispositivos. La plataforma más comercial y orientada al consumidor basada en Linux es el sistema operativo Tizen.

Todos los dispositivos Linux que ejecutan BlueZ se ven afectados por la vulnerabilidad de fuga de información (CVE-2017-1000250).
Todos los dispositivos Linux de la versión 3.3-rc1 (publicada en octubre de 2011) se ven afectados por la vulnerabilidad de ejecución remota de código (CVE-2017-1000251).
Ejemplos de dispositivos impactados:
Samsung Gear S3 (Smartwatch)
Samsung Smart TVs
Samsung Family Hub (refrigerador inteligente)
La información sobre las actualizaciones de Linux se proporcionará tan pronto como estén en vivo.

BlueBorne ataque a Linux

Armis ha revelado dos vulnerabilidades en el sistema operativo Linux que permiten a los atacantes tomar el control completo sobre los dispositivos infectados. El primero es una vulnerabilidad de fuga de información, que puede ayudar al atacante a determinar la versión exacta utilizada por el dispositivo de destino y ajustar su exploit en consecuencia. El segundo es un desbordamiento de pila con puede conducir al control total de un dispositivo.

  • Vulnerabilidad de fuga de información (CVE-2017-1000250):Similar a la vulnerabilidad de pérdida de información en Android, esta vulnerabilidad reside en el servidor SDP responsable de identificar otros servicios que utilizan Bluetooth en todo el dispositivo. La falla permite al atacante enviar un conjunto de peticiones hechas a mano al servidor, haciendo que divulgue bits de memoria en respuesta. Esto puede ser utilizado por un atacante para exponer datos sensibles del proceso Bluetooth que también puede contener claves de cifrado de las comunicaciones Bluetooth. Estos pueden ser utilizados por el atacante para iniciar un ataque que se parece mucho a heartbleed.
  • Desbordamiento de pila en BlueZ (CVE-2017-1000251): Esta vulnerabilidad se encontró en la pila Bluetooth del kernel de Linux, que es el núcleo del sistema operativo. Una falla interna en el L2CAP (control de enlace lógico y protocolo de adaptación) que se utiliza para conectar entre dos dispositivos provoca un daño de memoria. Un atacante puede usar esta corrupción de memoria para obtener el control total del dispositivo.

Estado de Corrección

Las vulnerabilidades de seguridad de BlueBorne se han corregido en las actualizaciones 15.4.1 (20170915).

Le recomendamos que actualice el sistema para obtener los parches para solucionar las vulnerabilidades.

 

referencia :

https://security-tracker.debian.org/tracker/CVE-2017-1000250

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=875633

https://www.armis.com/blueborne/

 

en_s