El investigador de seguridad Eaton Zveare ha dado a conocer una falla crítica que habría permitido a actores de amenazas desbloquear y hasta poner en marcha coches desde cualquier lugar.
Los cibermalos podían llevar a cabo un control no autorizado del arranque remoto de los automóviles, así como manejar las cerraduras de las puertas y hacer un seguimiento de su ubicación.
Zveare ha advertido de que el problema afectaría a todos los vehículos equipados con el módulo telemático estándar del fabricante de coches desde el año 2012.
El agujero de seguridad se hallaba en un portal de concesionarios perteneciente a un importante fabricante de automóviles (que no ha sido revelado).
Esta plataforma de software era utilizada por más de un millar de concesionarios en EE.UU.
Zveare pudo modificar el código cargado en el navegador desde la página de inicio de sesión, eludiendo la autenticación completamente y crear una cuenta con privilegios de administrador local. Mediante dicha cuenta obtuvo acceso sin límites al portal centralizado. Dentro de este pudo usar un buscador nacional de cliente
«Solo es necesario el nombre y apellido del objetivo o VIN, que se puede raspar en segundos desde un punto de parking», ha comentado el investigador.
Con solo conocer estos dos detalles, que se ven fácilmente en los parabrisas de los coches, podía acceder a su información y datos. Después podría enlazar el coche con una aplicación móvil controlada por el atacante. Así podía desbloquear puertas, arrancar el motor y rastrear el posicionamiento GPS sin que el dueño se percatara.
«Nos encontramos ante una toma de control silenciosa, sin correos electrónicos maliciosos ni tampoco phishing. Se confiaba en los concesionarios como la última milla para la inscripción, y esa confianza se convierte en la hazaña», concluye.
Una ‘pesadilla’ de seguridad
Para más inri, Zveare encontró que era posible abusar de una función de suplantación de usuario igualmente poderosa dentro del portal para pivotar a través de submarcas y sistemas de distribuidores regionales, evitando por completo los controles de aislamiento de sesión y la autenticación de dos factores. Es decir, el portal estaba conectado con otros sistemas de los concesionarios, pudiendo desplazarse por ellos libremente. Para el hacker de sombrero blanco esto era una «auténtica pesadilla de seguridad».
El fabricante automoriz fue informado de la vulnerabilidad a principios de febrero durante el evento DEF CON e implementó parches de backend para validar los roles de los usuarios en todos los puntos finales de la API. La compañía confirmó sus correcciones e invitó al investigador para ver si sus esfuerzos de remediación habían sido efectivos, antes de la divulgación pública.
Deja una respuesta