Un investigador de seguridad pudo violar los sistemas internos de más de 35 compañías importantes, incluidas Apple, Microsoft y PayPal, utilizando un ataque de cadena de suministro de software (a través de Computadora que suena ).
Investigador de seguridad Alex Birsan pudo explotar una falla de diseño única en algunos ecosistemas de código abierto llamada 'confusión de dependencia' para atacar los sistemas de empresas como Apple, Microsoft, PayPal, Shopify, Netflix, Yelp, Tesla y Uber.
El ataque involucró la carga de malware en repositorios de código abierto, incluidos PyPI, npm y RubyGems, que luego se distribuyeron automáticamente en las aplicaciones internas de las distintas empresas. Las víctimas recibieron automáticamente los paquetes maliciosos, sin necesidad de ingeniería social ni troyanos.
Birsan pudo crear proyectos falsificados usando los mismos nombres en repositorios de código abierto, cada uno con un mensaje de descargo de responsabilidad, y descubrió que las aplicaciones extraían automáticamente paquetes de dependencia pública, sin necesidad de ninguna acción por parte del desarrollador. En algunos casos, como con los paquetes de PyPI, cualquier paquete con una versión superior se priorizaría independientemente de dónde se encuentre. Esto permitió a Birsan atacar con éxito la cadena de suministro de software de varias empresas.
Al verificar que su componente se había infiltrado con éxito en la red corporativa, Birsan informó sus hallazgos a la empresa en cuestión, y algunos lo recompensaron con una recompensa por errores. Microsoft le otorgó la cantidad más alta de recompensa por errores de $ 40,000 y publicó un documento técnico sobre este problema de seguridad, mientras que Apple dijo BleepingComputadora que Birsan recibirá una recompensa a través del programa Apple Security Bounty por divulgar el problema de manera responsable. Birsan ahora ha ganado más de $ 130,000 a través de programas de recompensas por errores y acuerdos de prueba de penetración aprobados previamente.
Una explicación completa de la metodología detrás del ataque es disponible en Alex Birsan's Medio página .
Etiquetas: ciberseguridad, recompensa por errores
Entradas Populares