En la edición de este año, investigadores de la firma Eclypsium desvelaron que durante un análisis de los controladores de 20 fabricantes distintos encontraron más de 40 vulnerabilidades graves. El fallo reside de forma más concreta en sus drivers kérnel para Windows, que como indica su nombre tienen acceso directo a las funciones internas del sistema operativo y/o el hardware.
Según la información proporcionada por Eclypsium (presentación en PDF aquí), estos fallos derivan de malas prácticas a la hora de programar. "En lugar de hacer un controlador solo para realizar acciones específicas, está escrito de forma flexible para realizar acciones arbitrarias [...] Es más fácil desarrollar software estructurando controladores y aplicaciones de esta forma, pero deja abierto el sistema para que alguien lo explote", señala la descripción. Es así como un atacante puede aprovecharse de ellos para lanzar acciones maliciosas.
En total hay 20 compañías afectadas. Eclypsium ha facilitado una lista parcial, puesto que algunas de ellas "trabajan en entornos altamente regulados" y necesitarán más tiempo antes de hacer públicas sus vulnerabilidades.
- ASRock
- ASUSTeK Computer
- ATI Technologies (AMD)
- Biostar
- EVGA
- Getac
- GIGABYTE
- Huawei
- Insyde
- Intel
- Micro-Star International (MSI)
- NVIDIA
- Phoenix Technologies
- Realtek Semiconductor
- SuperMicro
- Toshiba
El uso de drivers kérnel defectuosos como los detectados permite ejecutar acciones de lectura y escritura sin restricciones o comprobaciones por parte del sistema operativo. Puesto que no es del todo extraño que los usuarios descarguen sus controladores desde sitios no oficiales (porque la página de descargas del fabricante no es fácilmente accesible y sitios externos ofrecen sus propias compilaciones mejor posicionadas en las búsquedas, por ejemplo), eliminarlos de raíz no es algo fácil.
El acceso a kérnel abre todo tipo de puertas a posibles atacantes. Un ejemplo muy simple sería permitir que aplicaciones con privilegios de usuario se ejecuten en modo kérnel. Eclypsium señala que un atacante con los recursos suficientes podría incluso instalar implantes a nivel de firmware, creando una amenaza permanente imposible de eliminar con un simple formateo (aunque un ataque de este nivel no es algo precisamente trivial).
Para que un atacante pueda iniciar la secuencia de eventos es necesario instalar los drivers con privilegios de administrador, algo relativamente sencillo si se engatusa al usuario o este no toma las precauciones adecuadas. Algunas medidas preventivas incluyen el uso de protecciones como Windows Defender, que puede detectar algunos drivers defectuosos, y la tecnología HVCI en el caso de los procesadores recientes de Intel, que también puede bloquear controladores problemáticos.
