RSS Project Zero

Google ha publicado un exploit zero-day en Windows 10 S, la versión de Windows que Microsoft ha intentado vender como "ultra segura" en gran parte porque no acepta instalaciones de apps fuera de la tienda oficial de la empresa.

Aunque el fallo es de severidad media, fue encontrado en sistemas con Windows 10 que usan Device Guard, una función que justamente restringe el sistema operativo para que ejecute solamente código que esté firmado por los firmantes de confianza, y que se supone hace todo más seguro.

Microsoft ha lanzado un parche de emergencia para corregir una vulnerabilidad crítica en su motor de protección antimalware (mpengine.dll), el mismo componente de detección y limpieza que usan los programas de seguridad de la empresa, como Windows Defender y Microsoft Security Essentials.

El fallo fue descubierto por Thomas Dullien, un investigador de Google Project Zero. Explotar el fallo es sumamente trivial, el atacante solo tienes que hacer que un archivo malicioso sea escaneado por el motor de protección, algo que Windows Defender hace automáticamente con todos los archivos que entran al sistema.

Project Zero, el grupo de investigadores de seguridad de Google, también conocidos como la peor pesadilla de Microsoft, ha desvelado otra vulnerabilidad en Windows 10 luego de que la empresa se volviese a quedar sin tiempo al pasarse los 90 días que Google da para para corregir los fallos que descubre.

En su reporte, Project Zero explica cómo el bug podría permitir a un atacante ganar privilegios administrativos en el sistema en caso de ser explotado. El problema ha sido listado como de alta severidad por Google porque resulta fácil de explotar.

Tavis Ormandy, el conocido investigador de seguridad de Google que trabaja en Project Zero, ha descubierto una serie de fallos de seguridad en los clientes web y de escritorio de uTorrent. Las vulnerabilidades hacen que un atacante puede infectar a las víctimas con malware y recopilar datos sobre las descargas del usuario.

Tanto el cliente de escritorio de uTorrent que todos conocemos de siempre, como la nueva versión web se han visto afectadas, pero es uTorrent Web el que ha recibido el mayor impacto según el investigador.

Cuando se trata de ciberseguridad, entre Microsoft y Google lleva tiempo habiendo una querella. La "culpa" de esto es principalmente de Google Project Zero, el equipo de expertos que reporta fallos de seguridad a otras empresas y les da un plazo de 90 días para solucionar los problemas antes de divulgarlos.

Esta vez el fallo divulgado es una vulnerabilidad en Microsoft Edge. Google ha desvelado como el navegador de Windows 10 puede ser explotado por sitios web maliciosos. Google le informó del problema a Microsoft en noviembre, pero Microsoft no pudo cumplir con la fecha tope de Google pues "la solución es más compleja de lo que habían anticipado inicialmente".

Estamos ya acostumbrados a que el equipo de expertos en seguridad de Google Project Zero constantemente desvele vulnerabilidades en los productos de Microsoft, ya sea en sus navegadores, en su antivirus o en el mismo sistema operativo.

Pero ahora ha sido al revés, pues es el equipo de investigación de seguridad de Microsoft el que ha encontrado una vulnerabilidad en un producto de Google, específicamente en su navegador Chrome.

El equipo de Project Zero de Google vuelve a dejar en evidencia malas prácticas de seguridad en Microsoft. El mismo grupo de expertos que nos ha alertado antes sobre vulnerabilidades en Edge e Internet Explorer, o fallo tras fallo en Windows Defender, ahora pone en evidencia a Windows, específicamente el problema con la forma en la que Microsoft actualiza sus sistemas.

Ya que las actualizaciones de seguridad llegan a Windows 10 primero y luego es que se añaden a Windows 7 y 8, como los sistemas comparten el mismo código base, los hackers pueden comparar los cambios en el código y detectar una vulnerabilidad que aún no se ha arreglado en los Windows viejos.

Google ha vuelto al ataque para asestarle un golpe a Microsoft. El equipo dedicado a la seguridad de la Gran G, Project Zero, ha publicado una nueva vulneravilidad zero day que afecta a Internet Explorer y Microsoft Edge. Este agujero se podría aprovechar para dos propósitos: "tirar" los navegadores o realizar ataques por ejecución arbitraria de código.

El bug, que explota una confusión de tipos en HandleColumnBreakOnColumnSpanningElement, fue descubierto el 25 de noviembre de 2016 y se hizo público el pasado día 23 de febrero. ¿Por qué se tardó tanto? Porque Project Zero siempre da 90 días de plazo para hacer públicos sus descubrimientos, de forma que a la empresa le de tiempo de parchearlos. Cuando no lo hacen, entonces se les "avergüenza" públicamente.

No es ni la primera ni la última vez que hablamos de algún antivirus que sin saberlo ha incluido en su software alguna vulnerabilidad que pone en peligro a sus usuarios. En esta ocasión el fallo de seguridad ha sido encontrado por un ingeniero del programa Project Zero de Google, reportado a la empresa y solucionado antes de hacerse público.

Travis Ormandy, que así es como se llama el ingeniero de Google, reportó que había encontrado una puertas traseras en el antivirus de la empresa Trend Micro. El defecto no se encuentra en el antivirus en sí, sino en una aplicación llamada Password Manager escrita en JavaScript que se instala y ejecuta automáticamente junto a él.

En julio del año pasado Google lanzaba Project Zero, un grupo de hackers de élite con la altruista misión de proteger la red encontrando vulnerabilidades en diferentes programas e informando a las empresas responsables, dándoles hasta 90 días para que puedan parchearlas con la mayor celeridad posible antes de que se hagan públicos los errores.

Y es precisamente ese límite de 90 días el que trae de cabeza a las empresas de Mountain View, y si hace unas semanas ya vimos cómo Google había tenido un encontronazo con Microsoft por revelar uno de los bugs de Windows 8.1 días antes de que se publicara el parche, pocos días después hacía lo propio con tres bugs de día cero encontrados en el OS X de Apple.