Google reporta una operación que usaba 11 vulnerabilidades 0-day

El pasado 27 de Marzo el MIT Technology Review publicó un artículo en el que se relataba la aparente división interna de Google por la detección y reporte de varios incidentes de ciberseguridad.

Mientras que por lo general el buen trabajo de un equipo de detección debería ser motivo de gran alivio y reconocimiento, en este caso la división interna viene motivada por los actores (y el objetivo) que al parecer había tras la explotación de las 11 vulnerabilidades 0-day empleadas en las campañas. Y es que, conforme a la publicación del MIT, las operaciones detectadas (y reportadas públicamente) correspondían a operaciones de contraterrorismo llevadas a cabo por aliados occidentales, operaciones que se habrían visto interrumpidas tras los informes publicados por los analistas.

La división de opiniones no queda sólo en Google, sino que diversos medios se pronuncian al respecto, sobre si se procedió adecuadamente o no, o si se proporcionó toda la información que debería haberse proporcionado. Por un lado, podemos encontrar fuentes que destacan el aparente secretismo o falta de detalle sobre las vulnerabilidades reportadas en su momento. Otras hacen hincapié en los borrosos límites que tienen las operaciones de inteligencia y contrainteligencia y en la labor tan importante que desempeñan equipos como Project Zero o Threat Analysis Group.

Desde luego es un asunto muy sujeto a debate, y recuerda a otros temas bastante sonados, como aquel “Apple vs FBI”, en el que Apple se negó a desbloquear un iPhone 5C de los terroristas de San Bernardino, amparándose en la protección que deben ofrecer a sus clientes, procurando evitar sembrar un precedente. Este es otro caso curioso, en el que se ofrecieron varios comunicados sobre vulnerabilidades graves que afectaban a Chrome y Safari, y posteriormente se dieron más detalles sobre las operaciones, bajo la premisa de mantener informados a los usuarios.

En concreto, el 18 de Marzo daban detalles en el blog de Project Zero, resultados de una investigación de varios meses por la que se descubrió una operación que explotaba siete vulnerabilidades 0-day afectando a diferentes plataformas (ver en la figura posterior): CVE-2020-15999, CVE-2020-17087, CVE-2020-16009, CVE-2020-16010, CVE-2020-27930, CVE-2020-27950, CVE-2020-27932. Esas vulnerabilidades, sumadas a otras cuatro descubiertas en una operación previa, publicadas el 12 de Enero de 2021 también en el blog de Project Zero, conforman las 11 vulnerabilidades 0-day de las que estos días estamos escuchando hablar.

La operación empleaba la redirección de páginas Web a servidores con el código dañino. El siguiente diagrama muestra el flujo de opciones que sigue a la conexión de un dispositivo a alguna de las webs afectadas, que redirigirían el tráfico a uno de los dos servidores:

Server #1 para iOS y Windows, y sólo para Android si server #2 fallase.
Server #2 para Android.

Flujo de opciones tras la conexión de un dispositivo a las webs afectadas. Fuente: Project Zero
Los analistas destacan en el resumen que iOS, Android y Windows fueron las únicas plataformas testeadas mientras que los servidores estuvieron activos y que no descartarían que otras plataformas puedan verse afectadas.

Pese a las descripciones del suceso, no se han publicado detalles más específicos sobre la operativa del ataque, y también esto ha despertado algunos comentarios críticos al respecto. Las opiniones van desde quienes creen que no debería haberse publicado nada al respecto para evitar afectar a la operación de contraterrorismo, pasando por los que creen que se ha publicado el contenido en su justa medida – los analistas no publican nada sobre los actores en su comunicado – hasta aquellos que defienden que todo debería ser público, incluso los IOCs y toda la información que ayude a identificar estos métodos, equiparándolo al caso de SolarWinds, aunque para muchos no sea lo mismo.

Ver información original al respecto en Fuente>