El departamento de Investigación de Check Point Software, ha logrado detectar vulnerabilidades en el "Trusted Environment" donde se almacenan y gestionan las contraseñas en los dispositivos móviles de Xiaomi, lo cual podría repercutir en la sustracción de información sensible, afectar a las claves de pagos de Wechat Pay o intervenir en aplicaciones Android sin privilegios para crear y firmar paquetes de pagos falsos.
Check Point ha realizado una investigación sobre pagos a través de smartphones y centrándose principalmente en el mercado asiático, en el mismo se ha logrado encontrar vulnerabilidades en los mecanismos usados por Xiaomi, uno de los grandes productores de celulares inteligentes a nivel mundial.
Se a determinado que las vulnerabilidades encontradas en el Trusted Environment de Xiaomi, que es el lugar en el que se almacenan y gestionan las contraseñas, puede terminar en la sustracción de información sensible, afectando directamente a las claves privadas para firmar paquetes de control y pago de Wechat Pay. intervenir una aplicación Android sin privilegios para crear y firmar paquetes de pago falso.
De acuerdo a estas investigaciones Check Point ha descubierto dos formas de realizar ataques en estos dispositivos, todos ellos equipados con chip de MediaTek.
Bastaría con que el usuario del dispositivo, sin querer haga la instalación de una aplicación maliciosa para que sean extraídas todas sus claves privadas y se logre enviar un paquete falso, lo que daría como resultado la pérdida del dinero. Por otro lado, si el ciberdelincuente logra acceder al dispositivo, puede llegar a rootearlo, bajar el entorno de confianza y ejecutar los códigos sin que medie ninguna aplicación.
Tomando en cuenta que Xiaomi tiene la capacidad de incrustar y firmar aplicaciones de confianza. Los criminales podrían aprovechar una versión antigua para sobrescribir el archivo en una aplicación nueva y así eludir las correcciones de seguridad de los fabricantes.
También se a encontrado varios errores en la aplicación thhadmin, misma que es responsable de gestionar la seguridad, lo cual puede ser usado por los ciberdelincuentes para filtrar claves almacenadas, ejecutar código y realizar acciones maliciosas falsificadas.
Check Point advierte de un fallo que compromete la plataforma soterrada de Tencent. Los dispositivos Xiaomi cuentan con el framework de pago móvil Tencent Soter que entrega una API para que aplicaciones de terceros integren capacidades de pago. WeChat Pay se basa en el soterramiento de Tencent.
“Descubrimos un conjunto de vulnerabilidades que podrían permitir la falsificación de paquetes de pago o su desactivación desde una aplicación Android sin privilegios”. Indicó también “fuimos capaces de hackear WeChat Pay e implementamos una prueba de concepto totalmente operativa”, declaro Slava Makkaveev, Investigador de Seguridad de Check Point Software. Además “Fuimos capaces de hackear WeChat Pay e implementamos una prueba de concepto totalmente operativa” concluyo.
Desde Check Point se remarcó que “Esta investigación es la primera que se hace para revisar las aplicaciones de confianza de Xiaomi en busca de problemas de seguridad”, a la vez que se remarcó que “el mercado asiático, principalmente representado por los smartphones basados en chips MediaTek, aún no ha sido ampliamente explorado. Nadie está examinando las aplicaciones de confianza escritas por los proveedores de dispositivos, como Xiaomi, a pesar de que la gestión de la seguridad y el núcleo de los pagos móviles están implementados allí”.
Una vez que Check Point detecto estos fallos que afectan los terminales de Xiaomi, se puso en contacto con la compañía, logrando que esta trabaje rápidamente para proporcionar soluciones a dichos fallos.
“Lo que queremos decir a los usuarios es que se aseguren constantemente de que sus teléfonos están actualizados con la última versión proporcionada por el fabricante”, recalco el investigador de seguridad de Check point Software Slava Makkaveev.
Comments