EuroFach Electrónica - EF484

41 INVESTIGACIÓN dirigido a un grupo más reducido de ejecutivos de alto nivel de empresas), vishing (el engaño opera utilizando conversaciones de voz, por ejemplo, bajo VoIP), smshing (el engaño se realiza utilizando SMS), tailgating (el engaño se efectúa en persona. Se utiliza amabilidad, ‘mano izquierda’, sostener una puerta a alguien con credenciales que accede primero a un sitio restringido), shoulder-surfing (consiste en espiar y mirar disimula- damente por encima del hombro lo que teclea la víctima frente a un ATM o su móvil), dumpster-diving (consiste en revisar los contenedores de basuras en busca de información confidencial como cartas con números de tarjetas, contraseñas, etc.), etc., que cuando se explotan o comprometen dan lugar a una brecha en ciberseguridad. Ventana de exposición de una vulne- rabilidad es el intervalo de tiempo que abarca las siguientes zonas temporales: el inicio es el descubrimiento de una vulnerabilidad 0-day (nivel de riesgo elevado), tras un cierto tiempo apa- rece el instante de tiempo en el que se hace pública la vulnerabilidad (nivel de riesgo algo mayor), tras un cierto tiempo aparece el instante en el que la vulnerabilidad la conoce el fabricante de la entidad con vulnerabilidad (nivel de riesgo algo mayor), tras un cierto tiempo aparece el instante en el que el fabricante a veces notifica a sus clien- tes (nivel de riesgo algo menor), tras un cierto tiempo aparece el instante donde se actualizan herramientas de ciberseguridad (firmas AV, IDS, módulos de detección de vulnerabilidades, etc.) (nivel de riesgo algo menor), tras un cierto tiempo aparece el instante en el que se publica el parche (nivel de riesgo menor), tras un cierto tiempo aparece el instante en el que la existencia del parche es ampliamente conocida (nivel de riesgo algo menor), por último, tras un cierto tiempo aparece el instante donde el parche se instala en todos los sistemas afectados, pero cuidado si el dispositivo de computación afec- tado posee un sistema operativo muy antiguo posiblemente el parche no sirva o no se pueda aplicar. El uso de vulnerabilidades no críticas, ofrecen un beneficio al explotarlas ya que justamente al no ser críticas están en menor prioridad en el proceso de poner remedios. Algunos ejemplos de vulnerabilidades software son: ‘world- writeable password file’ (permiten la modificación de datos críticos del sistema); ‘phf’ (permiten la ejecución del comando remoto como usuario ‘nobody’); ‘rpc.ttdbserverd’ (permiten la ejecución del comando remoto como root). La vulnerabilidad ‘Less.js’ causa que el sitio Web fugue claves secretas, por ejemplo, en AWS (Amazon Web Services). Las siglas CVE (Common Vulnerabilities Exposures) hacen refe- rencia a un estándar para identificar vulnerabilidades http://cve.mitre.org. La vulnerabilidad CVE-2021-31956 (posee una puntuación de impacto (de 0 a 10) CVSS (Common Vulnerability Scoring System) = 7,8) posibilita una elevación de privilegios de Windows NTFS. La vulnerabilidad CVE-2021-31955 posibi- lita la divulgación de información del kernel de Windows. La vulnerabilidad CVE-2021-33742 (posee una puntua- ción de impacto CVSS = 7,5) posibilita la ejecución remota de código de la plataforma Windows MSHTML. La vulnerabilidad CVE-2021-1914/CWE- 835 posibilita un lazo con condición de salida no alcanzable (‘lazo infinito’). La vulnerabilidad CVE-2017-11882 hace referencia a que el componente de Microsoft Office ‘Microsoft Equation Editor’ contiene una vulnerabilidad de pila de buffer-overflow que per- mite RCE (Remote Code Execution) en un sistema vulnerable. La vul- nerabilidad CVE-2020-5902 afecta al interfaz TMUI (Traffic Management User Interface) también denominado uti- lidad de configuración permite que cualquier usuario con acceso remoto al TMUI ejecute coman- dos del sistema y obtenga control completo sobre el sistema vulnerable. La vulnerabilidad en el ‘PHP Package Manager’ deja las APPs Web abiertas a abusos. La vulne- rabilidad ‘node.js ’ permite un secuestro de dominio remoto. Una vulnerabilidad hardware afecta al chip-procesador ‘Tegra X1’ de Nvidia, esta vulnerabilidad (impresa en hardware-ROM/WORM/ quemando e-Fuses) permite copiar código arbitrario en cualquier lugar de la memoria del dispositivo y por tanto sobre-escribir y anular el comando de verificación de firmas de lo que se instalaba a partir de ese punto en el dispositivo, con ese fallo impreso en hardware se rompe la cadena de confianza y nada de lo que aparezca detrás (el software) puede considerarse auténtico, integro, seguro, etc. Según la compañía Veracode la mayoría de las empresas priorizan las vulnerabilidades recientemente descubiertas mientras dejan per- sistir las más antiguas no resueltas (no parcheadas hace años) lo cual es muy peligroso. Según un informe de la compañía Skybox Security durante 2017 se publicaron 200 nuevas vulne- rabilidades para entornos OT, un 120% más con respecto al 2016. Además, se registró un aumento del 76% de exploits del lado del servidor. Según un informe de la compañía RiskRecon y el Instituto Cyentia tener dispositivos IoT sin una configuración y ciberse- guridad adecuada multiplica por 70 el ciber-riesgo de exposición de los activos críticos de las empresas debido entre otros aspectos a la dificultad de parchear las vulnerabilidades software.