Con el lanzamiento de macOS Catalina, llegó la muerte de iTunes para Mac, pero muchos usuarios siguen usando iTunes en Windows. Para esos usuarios, Apple acaba de lanzar una actualización de seguridad contra un ataque de día cero que permite instalar silenciosamente el ransomware BitPaymer.
Morphisec, una empresa de ciberseguridad, es la responsable del hallazgo. En su blog, identificó la raíz del problema en una vulnerabilidad de “ruta no citada” en Bonjour, un programa incluido con iTunes que Apple usa para entregar futuras actualizaciones. En Windows, los desarrolladores deberían incluir la ruta de los archivos ejecutables entre comillas. Eso hace que sea sencillo para el sistema encontrar un archivo en particular. Sin embargo, si una ruta no está entre comillas, se vuelve vulnerable. Un atacante podría agregar archivos maliciosos a una ruta de forma que omita el software de seguridad. iTunes no es el único programa que presenta esta vulnerabilidad: Mophiesec señala que el mismo error se encontró en otros programas en los últimos 15 años, incluidos Intel Management Engine, ExpressVPN y ForcePoint VPN.
En agosto, este fallo permitió instalar el ransomware BitPaymer en ordenadores de una empresa automotriz no identificada. (BitPaymer es un tipo de ransomware que cifra los archivos de un ordenador y luego exige un pago para recuperar el acceso).
Un problema que señala Morphisec es que la utilidad Bonjour se instala por separado de iTunes. Es decir, aunque hayas desinstalado iTunes, no significa que hayas desinstalado Bonjour, eso debe hacerse por separado. Morphisec descubrió que Bonjour persistía silenciosamente en segundo plano en ordenadores que habían eliminado iTunes años atrás.
Los usuarios de Windows deben verificar que hayan actualizado a iTunes 12.10.1, así como a iCloud 7.14. Y si han eliminado iTunes de su ordenador, deberían hacer una búsqueda rápida de Bonjour y desinstalarlo también, si no lo han hecho ya. Mophiesec dice que informó a Apple de otras vulnerabilidades, pero que esta en particular es la única que han solucionado.