En un truco épico, el desarrollador de señales le da la vuelta a la empresa forense Cellebrite


En un truco épico, el desarrollador de señales le da la vuelta a la empresa forense Cellebrite

La empresa israelí de análisis forense digital Cellebrite ha estado ayudando a gobiernos y agentes de policía de todo el mundo a entrar en teléfonos móviles incautados durante años, principalmente mediante la explotación de vulnerabilidades que los fabricantes de dispositivos han pasado por alto. Ahora Moxie Marlinspike, desarrollador de la aplicación de mensajería de señales, Cellebrite ha cambiado las tornas.

El miércoles, Marlinspike publicó una publicación informando vulnerabilidades en el software Cellebrite que le permitían ejecutar código malicioso en la computadora con Windows que estaba analizando dispositivos. El investigador y desarrollador de software aprovechó las vulnerabilidades al cargar archivos con formato especial que se pueden incrustar en cualquier aplicación instalada en el dispositivo.

Prácticamente sin límites

«Prácticamente no hay límites para el código que se puede ejecutar», escribió Marlinspike.

Él continuó:

Por ejemplo, si incluye un archivo especialmente formateado pero por lo demás inofensivo en una aplicación en un dispositivo que luego es escaneado por Cellebrite, puede ejecutar un código que cambie no solo el informe de Cellebrite producido en ese escaneo, sino también todos los informes anteriores y futuros. generó informes de Cellebrite de todos los dispositivos escaneados previamente y todos los dispositivos escaneados en el futuro de cualquier manera (inserte o elimine texto, correo electrónico, fotos, contactos, archivos u otros datos) sin cambios notables en la marca de tiempo o errores de suma de verificación. Esto incluso podría hacerse al azar y cuestionaría seriamente la integridad de los datos de los informes de Cellebrite.

Cellebrite ofrece dos paquetes de software: el UFED rompe bloqueos y protección de cifrado para recopilar datos eliminados u ocultos, y un analizador físico separado revela evidencia digital («eventos de seguimiento»).

Para hacer su trabajo, ambas partes del software Cellebrite deben analizar todo tipo de datos no confiables que se almacenan en el dispositivo que se analiza. Por lo general, el software que es tan promiscuo se somete a todo tipo de endurecimiento de la seguridad para detectar y reparar la corrupción de la memoria o analizar las vulnerabilidades que podrían permitir a los piratas informáticos ejecutar código malicioso.

«Cuando miramos tanto a UFED como a Physical Analyzer, nos sorprendió que la seguridad del software patentado de Cellebrite pareciera haber recibido muy poca atención», escribió Marlinspike. «No hay defensas de la industria para mitigar los exploits y hay muchas oportunidades de explotación».

Comprometer la integridad

Un ejemplo de esta falta de endurecimiento fue la inclusión de archivos DLL de Windows para el software de conversión de audio / video conocido como FFmpeg. El software se creó en 2012 y no se ha actualizado desde entonces. Marlinspike dijo que FFmpeg recibió más de 100 actualizaciones de seguridad en los últimos nueve años. Ninguna de estas correcciones está en el software FFmpeg incluido con los productos Cellebrite.

Marlinspike incluido Video Esto es lo que muestra UFED al analizar un archivo que ha formateado para ejecutar código arbitrario en el dispositivo Windows. La carga útil utiliza la API de Windows de MessageBox para mostrar un mensaje inofensivo. Sin embargo, Marlinspike dijo: “Es posible ejecutar código arbitrario, y una carga útil real para exploits probablemente intentaría alterar de manera indetectable informes anteriores y comprometer la integridad de informes futuros (¡posiblemente accidentalmente!) O filtrar datos de la máquina Cellebrite. «

Marlinspike dijo que también encontró dos paquetes de instalación de MSI que están firmados digitalmente por Apple y parecen haber sido extraídos del instalador de Windows para iTunes. Marlinspike preguntó si la grabación violaba los derechos de autor de Apple. Apple no comentó de inmediato cuando se le preguntó al respecto.

En un correo electrónico, un representante de Cellebrite escribió: «Cellebrite se compromete a proteger la integridad de los datos de nuestros clientes y estamos continuamente revisando y actualizando nuestro software para brindarles a nuestros clientes las mejores soluciones de inteligencia digital disponibles». El representante no dijo si los ingenieros de la compañía estaban al tanto de las vulnerabilidades detalladas de Marlinspike o si la compañía tenía permiso para empaquetar el software de Apple.

Marlinspike dijo que recibió el equipo de Cellebrite en «una coincidencia realmente increíble» cuando fue y «vio caer un pequeño paquete de un camión frente a mí». El incidente parece realmente increíble. Marlinspike se negó a proporcionar detalles adicionales sobre cómo llegó a poseer las herramientas de Cellebrite.

La línea de camión de camión no fue la única declaración irónica en el correo. Marlinspike también escribió:

En mensajes completamente independientes, las próximas versiones de Signal buscarán periódicamente archivos para almacenarlos en la aplicación. Estos archivos nunca se usan para nada en Signal y nunca interactúan con el software o los datos de Signal, pero se ven bien y la estética es importante en el software. Los archivos solo se devuelven para las cuentas que se han instalado activamente durante un tiempo, y probablemente solo en pequeños porcentajes según la fragmentación del número de teléfono. Tenemos algunas versiones diferentes de archivos que creemos que son estéticamente agradables y que recorreremos lentamente con el tiempo. Estos archivos no tienen otro significado.

Las vulnerabilidades podrían proporcionar combustible para que los defensores cuestionen la integridad de los informes forenses producidos con el software Cellebrite. Los representantes de Cellebrite no respondieron a un correo electrónico en el que se les preguntaba si estaban al tanto de las vulnerabilidades o tenían algún plan para solucionarlas.

«Por supuesto, estamos listos para revelar responsablemente a Cellebrite las vulnerabilidades específicas que conocemos si hacen lo mismo ahora y en el futuro para todas las vulnerabilidades que utilizan en su extracción física y otros servicios», escribió Marlinspike.

La publicación se ha actualizado para agregar el cuarto y penúltimo párrafo y agregar un comentario de Cellebrite.



Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *