Un nuevo estudio muestra que casi todo el código informático del mundo es vulnerable a un tipo de exploit lo que podría (en el peor de los casos) resultar en ataques a la cadena de suministro a gran escala.
Falla en cuestión fue descubierto por investigadores de la Universidad de Cambridge en Inglaterra, que han comenzado a llamarlo “Fuente troyana“. este “Troyano” afecta lo que se conoce como compiladores de código– Piezas clave de software que ayudan a que el código fuente escrito por humanos se ejecute en las máquinas.
Cuando se implementa el software, los programadores escriben en un lenguaje legible por humanos, la llamada código de “nivel alto”. Esto incluye idiomas como Java, C++, Python, etc. Sin embargo, para que las instrucciones del script sean realmente ejecutado por una computadora, el código debe traducirse a un formato legible por humanos máquina que consiste puramente en bits binarios, los llamados “codigo de maquina“. Aquí es donde entran en juego los compiladores. Actúan como intermediarios entre humanos y máquinas, traduciendo un idioma a otro.
Desafortunadamente, como el nuevo estudio, también puede ser atacado muy fácilmente. Según los hallazgos de los investigadores, casi todos los compiladores tienen un error que, cuando se explota adecuadamente, vamos a secuestrarlos de forma invisible con fines maliciosos. Con el exploit, actor malicioso hipotéticamente, podría alimentar máquinas con un código diferente al que se pretendía originalmente, anulando efectivamente las instrucciones de un programa.
Como tal, “Fuente troyana”Podría usarse hipotéticamente para instigar ataques a la cadena de suministro a gran escala. Tales ataques, como el reciente campana contra Vientos solares, involucran la implementación silenciosa de programación maliciosa en productos de software como un vector para comprometer los sistemas y redes de objetivos específicos. En teoría, los piratas podría usar este exploit para codificar vulnerabilidades en ecosistemas de software completos, permitiéndoles usarlos para un ataque mas dirigido. Como tal, la vulnerabilidad plantea “una amenaza inmediata,” escriben los investigadores, y podrían amenazar con “comprometer la cadena de suministro en toda la industria.”
G / O Media puede obtener una comisión
El documento sugiere implementar varias protecciones nuevas dirigidas específicamente defender compiladores como significa evitar eso gran problema nuevo. Reportero de ciberseguridad Brian Krebs ha informado de que, como resultado del estudio, algunas organizaciones ya se han comprometido a emitir parches relacionados con “Trojan”. Sin embargo, se informa que otros “arrastrando sus pies.”
“El hecho de que la vulnerabilidad de Trojan Source afecte a casi todos los lenguajes informáticos lo convierte en una oportunidad única para una comparación de respuestas basada en proveedores y multiplataforma en todo el sistema y respetuosa con el medio ambiente.” dice el documento. “Dado que se pueden lanzar ataques poderosos contra Al usar estas técnicas, es esencial que las organizaciones involucradas en una cadena de suministro de software implementen defensas. “
