Una vez que George Kurtz y sus colegas de la start-up de seguridad CrowdStrike llevaron a cabo el ataque, pudieron grabar llamadas telefónicas, interceptar mensajes de texto y hacer un seguimiento de la ubicación del teléfono hackeado en todo momento.
"¿Qué está en todas partes, tiene una cámara, un micrófono, sabe dónde estás en todo momento, está siempre encendido y almacena información delicada?", preguntó Kurtz. "El teléfono inteligente es la herramienta de espionaje definitiva".
Ha sido posible hackear teléfonos inteligentes desde hace tiempo, pero Kurtz señaló que era la primera demostración pública de un sistema capaz de arrebatar el control de una forma remota con un simple clic en un vínculo web.
Los ataques dirigidos, diseñados para robar propiedad intelectual o información valiosa de corporaciones y ejecutivos, se han convertido en algo relativamente común durante los últimos años. Desde hace algún tiempo los expertos en seguridad han advertido de que los dispositivos móviles ofrecen una manera más generalizada y eficaz de realizar este tipo de ataques, y la demostración de ayer lo confirma.
Kurtz y sus colegas mostraron en el escenario el acceso a un teléfono Android real y sin modificar. Kurtz, interpretando el papel de un ocupado inversor en un evento de la industria, recibió un mensaje de texto que decía ser de su operador de telefonía móvil y le pedía descargar una actualización de software en su teléfono. Cuando hizo clic en el enlace del mensaje, el navegador del teléfono se colgó y el dispositivo se reinició. Una vez reiniciado, el dispositivo parecía no tener cambios, aunque se había instalado una sigilosa aplicación maliciosa que transmite todas sus llamadas telefónicas y mensajes de texto al atacante, quien también puede rastrear su ubicación en un mapa.
El ataque ocurrió en un dispositivo con la versión 2.2 del sistema operativo Android de Google, también conocida como Frozen Yogurt, aunque hizo uso de errores en un componente del navegador de Android que también está presente en la versión más reciente, la 2.3, o Gingerbread. Estas dos versiones de Android están en casi el 90 por ciento de los dispositivos Android en uso hoy día, indicó Kurtz. Más aún, WebKit, el componente del explorador que se usó para entrar en el teléfono, es también el núcleo de los navegadores web encontrados en el iPhone y los iPads de Apple, los teléfonos BlackBerry y los dispositivos Google TV.
nLos atacantes pagaron 1.400 dólares (1.050 euros) en el mercado negro por los detalles de 14 errores conocidos, pero no parcheados, en WebKit. Después idearon una forma de utilizarlos para obtener acceso a toda la 'raíz' del dispositivo y construyeron un sistema completo que usa esos poderes para instalar una herramienta de acceso remoto, o RAT, que habían incautado de piratas informáticos ubicados en China.
"Naciones estado como Rusia y China desarrollan RAT de forma activa, y si podemos hacer esto en unas pocas semanas, ellos sin duda también pueden hacerlo", señaló Dmitri Alperovitch, director de tecnología en CrowdStrike. El RAT en la demostración era una aplicación convencional con privilegios elevados que podrían ser detectados por las aplicaciones de seguridad disponibles para Android, indicó, pero con más tiempo, sería posible utilizar la misma metodología para instalar software tipo rootkit difícil de detectar, y que resulta invisible para estas herramientas.
Kurtz trató de poner una nota positiva, señalando que "no se nos ha caído el mundo encima. Son ataques muy específicos".
La prevención de ataques como el que se demostró en el escenario requiere actualizaciones más frecuentes de los sistemas operativos móviles, señaló Kurtz. Sin embargo eso no resulta nada fácil, ya que los operadores inalámbricos, los fabricantes de dispositivos móviles y los proveedores de sistemas operativos deben estar involucrados. Como consecuencia, la mayoría de los dispositivos móviles en la actualidad reciben actualizaciones en muy raras ocasiones.