Google ha revelado detalles relacionados con un error de macOS que vio utilizado en la naturaleza contra los visitantes de los sitios web de los medios de comunicación de Hong Kong.
El Grupo de Análisis de Amenazas del gigante de las búsquedas, identificó un ataque de watering hole contra el sitio web de un medio de comunicación y un grupo laboral y político pro-democracia, dijo el investigador de Google TAG Eyre Hernández en una entrada de blog que detalla el exploit.
El ataque a macOS utilizó la vulnerabilidad CVE-2021-30869, que no estaba parcheada en ese momento e instalaba una puerta trasera no reportada previamente en los sistemas Mac. Se dirigía a los Mac basados en Intel que ejecutaban la versión Catalina de su sistema operativo, pero la última versión Big Sur de Apple cuenta con protecciones genéricas, lo que hace que el exploit sea inútil.
El código era sofisticado y utilizaba técnicas de ofuscación que obligaron a los investigadores de TAG a escribir un script que lo descifrara.
El ataque se salía del mecanismo de seguridad sandbox de Safari y se ejecutaba como root, lo que le daba acceso total al sistema. A continuación, descargó una carga útil, que Hernández calificó de «producto de una amplia ingeniería de software», utilizando un servicio de publicación y suscripción para descargar diferentes módulos de ataque.
El módulo que vio el equipo de TAG capturaba las pulsaciones del usuario. Otras funciones incluían la toma de huellas dactilares del dispositivo, la captura de pantallas y la grabación del audio del Mac. También ejecutaba comandos en el terminal y descargaba o subía archivos de la máquina de la víctima.
TAG informó de la vulnerabilidad a Apple, que la parcheó en Catalina el 23 de septiembre. Sin embargo, TAG cree que el exploit provocó más de 200 infecciones cuando descubrió el ataque.
Las grandes empresas tecnológicas han dejado de procesar las solicitudes de datos de los usuarios de Hong Kong por temor a los abusos de los derechos humanos y al espionaje de China. Facebook también canceló un cable submarino allí en marzo.
Con información de Europa Press.