Vulnerabilidad en Windows 10 IoT permite el control de los dispositivos

Una investigadora de la firma SafeBreach ha revelado una vulnerabilidad en Windows 10 IoT Core que permitiría a un atacante ejecutar comandos con privilegios de administrador en dispositivos que usen el sistema. 

Windows IoT es el sistema operativo de Microsoft para el segmento de embebidos y la Internet de las Cosas. Sucesor gratuito del proyecto Windows Embedded, tiene una cuota de mercado del 22% y solo es superado por la gran participación de Linux en este grupo ya que el sistema libre gobierna 7 de cada 10 dispositivos. La semana pasada Microsoft publicó Windows Server IoT 2019 y expandió el soporte hardware para el Windows 10 IoT cliente, consciente de la importancia de este mercado.

Confirmando que estos dispositivos inteligentes y/o embebidos necesitan mejorar el apartado de la seguridad, la investigadora de SafeBreach ha presentado en la conferencia de seguridad WOPR Summit un exploit que aprovecha una vulnerabilidad del protocolo de comunicaciones Sirep/WPCon incluido con el sistema operativo Windows IoT.

La explotación se realiza mediante un troyano de acceso remoto (RAT) denominado SirepRAT cuya prueba de concepto será publicado en GitHub para su investigación. Ello permite acceder a una interfaz de comandos que los ciberdelincuentes podría emplear para tomar el control de los dispositivos inteligentes con Windows IoT Core.

El exploit es de acción limitada ya que solo funciona a través de una conexión Ethernet y no de manera inalámbrica, lo que implicaría acceso físico a la red interna de un hogar o empresa. La vulnerabilidad tampoco afecta a la versión más avanzada de este sistema, Windows IoT Enterprise.

En todo caso, es un aviso para que proveedores como Microsoft incrementen la seguridad de un grupo de dispositivos conectados que abarcará a decenas de miles de millones en los próximos años, desde un gran electrodoméstico a una simple taza de café, pasando por un timbre o un termostato.

Hace justamente un año, investigadores de la Universidad Ben-Gurion, probaron una serie de estos dispositivos comerciales a la venta concluyendo que podían ser comprometidos fácilmente. Hasta ahora, el IoT es un campo en el que la seguridad no ha sido la prioridad, a pesar del aumento en la cantidad de dispositivos vulnerables expuestos.