Aunque la cadena de producción y distribución de Apple es una de las más estrechamente monitoreadas y analizadas en el mundo, tanto por el control que ejerce la propia compañía como por el gran interés del público en general. Aún con todo eso no hay garantía de que un producto producido en masa salga de su caja original sin fallas. De hecho, es posible comprometer remotamente una Mac nueva la primera vez que se conecta a Wi-Fi, según ha reportado la revista Wired.
Esta nueva vulnerabilidad, fue demostrada por los investigadores que la encontraron el día de ayer jueves (9 de Agosto 2018) en la conferencia de seguridad Black Hat en Las Vegas, se enfoca en los Mac empresariales que usan el Programa de Inscripción de Dispositivos de Apple y su plataforma de Administración de Dispositivos Móviles. Estas herramientas empresariales les permiten a los empleados de una empresa administrar la configuración personalizada de una Mac, incluso si trabajan en una oficina satélite o desde su casa. La idea es que una empresa pueda enviar Macs a sus trabajadores directamente desde los almacenes de Apple y los dispositivos se configurarán automáticamente para unirse a su ecosistema corporativo después de arrancar por primera vez y conectarse a una red Wi-Fi.
DEP y MDM requieren un gran acceso privilegiado para hacer que ocurra toda esa magia. Así que cuando Jesse Endahl, el director de seguridad de la firma de administración Mac Fleetsmith, y Max Bélanger, un ingeniero de personal en Dropbox, encontraron un error en estas herramientas de configuración, se dieron cuenta de que podían aprovecharlo para obtener acceso remoto a Mac.
Endahl ha declaro para Wired:
Encontramos un error que nos permite poner en peligro el dispositivo e instalar un software malicioso antes de que el usuario siquiera inicie sesión por primera vez. En el momento en que inician sesión, cuando ven el escritorio, la computadora ya está comprometida.
Los investigadores notificaron a Apple sobre el problema, y la compañía lanzó un parche en macOS High Sierra 10.13.6 el mes pasado, pero los dispositivos que ya han sido fabricados y que incluyen una versión anterior del sistema operativo seguirán siendo vulnerables. Bélanger y Endahl también señalan que los proveedores de Mobile Device Management (empresas como Mac Fleetsmith que son contratadas para implementar el esquema empresarial de Apple) también deben soportar 10.13.6 para mitigar completamente la vulnerabilidad. Cómo ya es usual Apple no respondió a las solicitudes de comentarios de la revista Wired.
Bélanger y Endahl hacen hincapié en que el ataque no es fácil. Los investigadores solo pudieron encontrar la vulnerabilidad y demostrar una versión del ataque en la conferencia Black Hat de Las Vegas porque Endahl trabaja en la empresa Mac Fleetsmith y puede configurar el servidor certificado y el ataque man-in-the-middle en el propio proveedor de MDM. Y reconocen la seguridad de las aplicaciones de Apple y el proceso de MDM en general y añadieron que Apple ya ha creado la capacidad de eliminar aplicaciones maliciosas una vez que la empresa las descubre.
Pero enfatizan que un atacante motivado y bien financiado (por un organismo gubernamental) podría explotar la falla si estuviera buscando una forma de acceder a los Mac. Y el potencial de usar el ataque como un punto de partida para profundizar en las redes corporativas sería muy atractivo. Los ciberdelincuentes podrían hacer más sencillo su trabajo al dirigir su ataque a los empleados que trabajan desde casa y que son más fáciles de hackear y ser usados para el ataque de man-in-the-middle, gracias a las muchas vulnerabilidades que suelen tener los routers de uso domestico.