Los hackers emplean el protocolo de gestión de productos iOS para implementar 'malware'

Apple ha invertido mucho tiempo y esfuerzo en evitar que los hackers instalen apps peligrosas para los usuarios mediante el robo de certificados de empresa, pero hay una puerta trasera que se han dejado abierta: el protocolo de los smartphones para la gestión de productos.

Según han explicado analistas de Check Point Software Technologies, las comunicación entre los productos MDM (Mobile Device Management) y dispositivos iOS permitirían a los hackers ataques man-in-the-middle, también conocido como Janus, y que pueden utilizarse para secuestra e instalar malware en dispositivos no liberados sin que lo perciba el usuario (y sin apenas interacción).

Para ello los hackers necesitan el ya mencionado certificado de empresa de firma de código que se obtiene mediante el programa de desarrollo corporativo de Apple; este es utilizado por las empresas cuando quieren crear apps internas para sus empleados sin tener que hacerlas públicas en la App Store.

En las versiones antiguas de iOS, implementar una app firmada con un certificado de empresa requería que el usuario abriese un link donde estaba hospedada la app, aceptar confiar en el desarrollador y aceptar instalar la aplicación; con este método había interacción con el usuario, pero aun así era fácil engañar al dueño del móvil para que instalasen ellos mismos las apps. Según Michael Shaulov, de Check Point, Apple había minimizado el riesgo de estos ataques al añadir pasos en el proceso de instalar una aplicación, pero no ha renovado el sistema con el que los productos MDM instalan las aplicaciones en el sistema iOS.

Las empresas suelen emplear los productos MDM para controlar, configurar, securizar, y en algunos casos, limpiar los dispositivos de sus empleados; en estos productos se encuentran app stores privadas que permiten a las compañías implementar aplicaciones rápidamente en sus dispositivos.

Las huellas del hacker

Para que el malware pueda ser distribuido el dispositivo tiene que estar registrado en el servidor de MDM, un tipo de dispositivo fácil de encontrar ya que es bastante común. El siguiente paso para los hackers es engañar a los usuarios para que instalen un perfil de configuración malicioso, otro paso fácil ya que las personas están acostumbradas a implementar VPN, Wi-Fi, email, y apps parecidas.

En el momento en que se distribuye el perfil de configuración, el cibercriminal instala un certificado de raíz fraudulento con capacidad de configurar el proxy del dispositivo para emplear las conexiones a Internet. Mediante esta ruta se puede enviar el tráfico de internet a un servidor que esté bajo el control del hacker y permitir el ataque man-in-the-middle.

En este punto, el criminal puede impersonar el servidor MDM e instalar una app maliciosa con el certificado robado en el dispositivo. Así, el hacker puede enviar una y otra vez la petición para instalar la app, impidiendo que el usuario pueda hacer nada hasta que no la instale, según añade Shaulov. Al final, la mayoría de los usuarios aceptan la petición para poder continuar utilizando el móvil, por lo cual se distribuye el malware.