Symbian firma criptográficamente como válido un troyano

Symbian Foundation ha admitido que un troyano se ha colado en su proceso
de validación de software y ha sido firmado criptográficamente para
ejecutarse en su sistema operativo, lo que garantiza que proviene de una
fuente confiable y que tiene total acceso a los recursos del dispositivo
que lo aloje.

El troyano en cuestión se hace llamar «Sexy Space». Craig Heath, jefe de
seguridad de Symbian, admitió que este software pasó los controles y fue
firmado digitalmente como «garantizado» por la propia Symbian. Symbian
sigue el mismo proceso que muchas plataformas hoy en día (iPhone,
Wii…): firma criptográficamente cada programa como garantía de que ha
pasado unos mínimos controles de procedencia. El problema es que en ese
proceso de comprobación de los programas, al parecer se ha colado un
troyano y Symbian lo ha firmado como válido para ejecutarse en su
sistema operativo. Cabe recordar que las firmas validan siempre la
procedencia, (el firmante se hace responsable del contenido) pero la
firma no garantiza cómo o qué hace exactamente un programa.

Lo extraño es que esto no haya ocurrido antes, teniendo en cuenta el
proceso que sigue una aplicación para ser validada por Symbian. Primero
lo analizan con un antivirus automáticamente. Una vez han pasado por
esta prueba, solo algunas muestras aleatorias pasan a ser comprobadas
por auditores humanos. Lo que ocurrió es que el troyano pasó
desapercibido para los motores antivirus (lo que no es ninguna sorpresa)
y no tuvo la «suerte» de pertenecer al grupo de programas analizados por
auditores.

Symbian Foundation ha revocado la firma de esta pieza, con lo que en
teoría, el sistema no permitiría la instalación de nuevas instancias del
troyano. El problema es que la funcionalidad de actualizar firmas
revocadas no está activa por defecto en Symbian, con lo que esta medida
no tendrá mucho impacto.

A raíz de este incidente, Heath piensa que debe mejorar la auditoría
«humana» en su proceso de firma. Pero debido al coste, no cree posible
que puedan añadirse nuevos recursos en este sentido, sino mejorar los
existentes. Interpretando sus palabras, esto puede implicar o bien que
los empleados encargados de esta tarea trabajarán más horas, o que
mejorar la auditoría «humana» pasa precisamente por automatizar aún más
el proceso y que sea menos «humano», lo que llevaría quizás a otro tipo
de problemas de seguridad. En cualquier caso Symbian se encuentra ante
el mismo problema que las casas antivirus para clasificar malware, pues
validar criptográficamente código, no es una tarea muy diferente a la
que realizan los motores antivirus a la hora de identificar virus.

Sexy Space se expande por SMS, enviando enlaces a la lista de contactos
con contenido pornográficos. Envía datos personales como el IMEI de
teléfono a los atacantes, y la víctima deberá hacer frente a los gastos
del envío de los mensajes.

Más info: http://www.f-secure.com/weblog/archives/00001732.html

Sergio de los Santos
ssantos@hispasec.com