Cuidado con una actualización maliciosa de firmware en tu Mac

Aunque lleves tu software actualizado y al día, tu ordenador puede estar escondiendo código vulnerable y anticuado que podría ser utilizado por atacantes para comprometer tu equipo a través de exploits. El problema del que os vamos a hablar hoy reside en el firmware, programar directamente sobre él controla el hardware. El firmware se asienta a un nivel similar al del sistema operativo, un nivel en el que los privilegios son tales que un atacante podría modificar todo el sistema a su gusto. Esta capa de seguridad se encuentra a un nivel tan profundo que incluso instalando un nuevo sistema operativo o reemplazando el disco duro no podremos salvar el equipo.

Recientemente los investigadores de seguridad de Duo Labs han reunido el trabajo realizado durante tres años analizando alrededor de 73.000 equipos Mac usados en organizaciones dedicadas a diferentes sectores de la industria para comprobar si los terminales estaban corriendo el firmware correcto o un firmware modificado (Extensible Firmware Interface) que permitiese modificar los procesos previos al arranque del ordenador. Los investigadores hicieron un sorprendente descubrimiento, en un significante número de casos los ordenadores corrían la última versión del sistema operativo macOS ignorando el firmware y dejando parte del equipo comprometido. De todos los equipos investigados unos 54.000 estaban siendo mantenidos por Apple, esto significaba una desviación de un 4,2% de lo estipulado, confirmando que miles de máquinas utilizan versiones no legítimas del firmware EFI (que es lo primero que se ejecuta al encender el ordenador).

Figura 1: Actualización de Firmware Mac.

El caso más grave se dio al analizar los iMac 16.2 del año 2015, ya que se detectó un uso de firmware incorrecto del 43% de los dispositivos algo que sucedió también en modelos posteriores pero no a una escala tan grande. “No debería haber desviaciones, pero las hay y en algunos casos son muy significantes” dijo Rich Smith, director de investigación de Duo.

Los investigadores identificaron al menos 16 modelos de ordenador (incluyendo MacBook y MacBook Pro) que recibían soporte para para las aplicaciones de seguridad pero que aparentemente no recibían actualizaciones de firmware. Desde 2015, Apple ha lanzado paquetes de actualizaciones de firmware para sus sistemas operativos, un buen método para que los usuarios puedan mantener sus sistemas seguros. Pero hay un problema, una actualización de firmware podría fallar y no avisar a los usuarios, dejando su equipo comprometido.

“No hay ninguna notificación que te avise de que una actualización de EFI haya fallado, son fallos silenciosos que hacen que nuestro software sea seguro pero nuestro firmware no” añadió Smith.

Figura 2: Tweet de agradecimiento publicado por uno de los ingenieros de Apple.

Recientemente Apple agradeció a Duo Labs que les comunicasen de antemano la vulnerabilidad encontrada y confirmó que ha trabajado en una nueva herramienta capaz de comprobar si el firmware que corre en un Mac es el correcto de manera periódica con el fin de acabar con este problema ya que aunque estés corriendo la última versión de MacOS eso no implica que también lo hagas del EFI Firmware. Debido a los daños que puede causar el uso de un EFI incorrecto, Duo Labs recomienda a las empresas afectadas que sustituyan todos sus equipos con el fin de prevenir ciberataques.