Tavis Ormandy, un investigador de seguridad de Google, había descubierto recientemente una vulnerabilidad en el administrador de contraseñas de Windows 10. Este error permite a los ciberataques robar contraseñas.
Este defecto viene con la aplicación de gestión de contraseñas de Keeper de terceros que viene preinstalada en todos los dispositivos de Windows 10. Parece que este defecto es muy similar al que el mismo investigador de seguridad descubrió en 2016.
Detalles sobre el ataque cibernético
Tavis Ormandy declaró que recuerda haber presentado un error sobre la forma en que se inyectó la interfaz de usuario privilegiada en las páginas. Afirmó que esta vez vuelve a ocurrir lo mismo que en 2016 con la versión actual de Password Manager.
Tavis demostró el ataque, y compartió todos los detalles necesarios en el Proyecto Cero. Este fallo parece estar sujeto a un plazo de divulgación de 90 días, y esto significa que después de que estos 90 días pasen, Tavis será libre de compartir los detalles completos de este fallo y la forma en que puede ser explotado públicamente.
Según él, creó una nueva Windows 10 VM con una imagen prístina de MSDN, y notó que un administrador de contraseñas de terceros viene instalado por defecto. Después de eso, encontró la vulnerabilidad crítica.
El problema ya está marcado y se ha implementado una solución
Keeper ya marcó el problema hace unos días, y se implementó una nueva actualización para solucionarlo. La compañía discutió el tema en una entrada del blog.
El post de Keeper indica que todos los clientes que están ejecutando la extensión del navegador en Chrome, Edge y Firefox ya han recibido la versión 11.4.4 a través de su proceso de actualización de la extensión del navegador web. Los usuarios que estén ejecutando la extensión Safari pueden actualizar manualmente a la versión 11.4.4 visitando la página de descargas de la compañía. Keeper también dijo que las aplicaciones móviles y de escritorio no se vieron afectadas por este problema y que no requieren actualización.
Para prevenir cualquier ataque cibernético, te recomendamos que mantengas todas tus aplicaciones actualizadas. Puede descargar la extensión para Microsoft Edge desde la tienda de Microsoft.