Vulnerabilidad de TeamViewer podría permitir a los hackers robar la contraseña del sistema
Si estás utilizando TeamViewer, ten cuidado y asegúrate de estar ejecutando la última versión del popular software de conexión de escritorio remoto para Windows.
El equipo de TeamViewer lanzó recientemente una nueva versión de su software que incluye un parche para una vulnerabilidad grave (CVE 2020-13699). Si la vulnerabilidad se explota, podría permitir que atacantes remotos roben la contraseña de tu sistema y eventualmente la comprometan.
Lo que es más preocupante es que el ataque se puede ejecutar casi automáticamente. El ataque no requiere mucha interacción de las víctimas y basta con convencerlas de que visiten una página web maliciosa una vez.
Para aquellos que no lo saben, TeamViewer es un popular software de soporte remoto que permite a los usuarios compartir de forma segura su escritorio. También permite tomar el control total de la PC de otras personas a través de Internet desde cualquier parte del mundo.
El software de acceso remoto está disponible para sistemas operativos de escritorio y móviles. Tiene versiones para Windows, macOS, Linux, Chrome OS, iOS, Android, Windows RT Windows Phone 8 y BlackBerry.
La vulnerabilidad de alto riesgo fue descubierta y reportada por Jeffrey Hofmann de Praetorian. Esta reside en la forma en que TeamViewer cita sus controladores URI personalizados. La situación podría permitir a un atacante forzar al software a transmitir una solicitud de autenticación NTLM al sistema del atacante.
Funcionamiento de la vulnerabilidad
En términos simples, un atacante puede aprovechar el esquema URI de TeamViewer desde una página web para engañar a la aplicación instalada en el sistema de la víctima. Esto para que inicie una conexión al recurso compartido SMB remoto propiedad del atacante.
Esto, a su vez, desencadena el ataque de autenticación SMB. Además, filtra el nombre de usuario del sistema y la versión en hash NTLMv2 de la contraseña a los atacantes. Esto les permite usar las credenciales robadas para autenticar la computadora o los recursos de red de las víctimas.
Para aprovechar con éxito la vulnerabilidad, un atacante necesita incrustar un iframe malicioso en un sitio web. Posteriormente debe engañar a las víctimas para que visiten esa URL creada con fines malintencionados. Una vez que la víctima haga clic, TeamViewer iniciará automáticamente su cliente de escritorio de Windows y abrirá un recurso compartido SMB remoto.
Luego, el sistema operativo Windows de la víctima “realizará la autenticación NTLM al abrir el recurso compartido SMB y esa solicitud se puede transmitir. Se puede transmitir utilizando una herramienta como el responder para la ejecución del código (o capturarse para descifrar el hash)”.
Esta vulnerabilidad, categorizada como ‘Manejador de URI sin comillas’, afecta a los “manejadores de URI teamviewer10 y teamviewer8. También afecta a teamviewerapi, tvchat1, tvcontrol1, tvfiletransfer1, tvjoinv8, tvpresent1, tvsendfile1, tvsqcustomer1, tvsqsupport1, tvvideocalln1, y tvVideopn1.”
El proyecto TeamViewer ha corregido la vulnerabilidad citando los parámetros pasados por los controladores de URI afectados. Por ejemplo, URL:teamviewer10 Protocol “C:\Program Files (x86)\TeamViewer\TeamViewer.exe” “%1”
Aunque la vulnerabilidad no se está explotando en el entorno, no te debes descuidar. Debemos considerar la popularidad del software entre millones de usuarios, TeamViewer siempre ha sido un objetivo de interés para los atacantes.
Medidas a tomar
Por lo tanto, recomendamos encarecidamente a los usuarios que actualicen su software a la versión 15.8.3. Seguramente es cuestión de tiempo antes de que los hackers comiencen a explotar la falla para hackear las PC con Windows de los usuarios.
Un vector de ataque de autenticación SMB similar se reveló anteriormente en Google Chrome, la aplicación de videoconferencia Zoomy la aplicación de mensajería Signal.
