XcodeGhost, cuando un gusano asoma en la manzana

Josep Verdura - Analista de Seguridad de Vintegris opina sobre la seguridad en Internet

Josep Verdura – Analista de Seguridad de Vintegris

XcodeGhost muestra cómo la tendencia muy humana de tratar de simplificar y acelerar la ejecución de una tarea puede ser un atajo directo a la vulnerabilidad

Apple ha admitido el impacto con un comentario inicial sobre el malware y su proliferación en la App Store. Ha explicado que se han eliminado las aplicaciones infectadas en la tienda y que están bloqueando las presentaciones de nuevas aplicaciones que contengan el malware.

Son 25 las aplicaciones más populares afectadas, entre las que se encuentran la popular aplicación de mensajería WeChat. Ciertamente, el impacto de estas infecciones ha disminuido notablemente la cantidad de usuarios activos en cada una de ellas.

Los usuarios deberán actualizar estas aplicaciones tan pronto como sea posible (una vez que estén disponibles en la App Store nuevamente). La desinstalación de las aplicaciones afectadas es sin duda la mejor opción para los usuarios, aunque Apple asegura que el malware encontrado sólo fue capaz de levantar información general “poco relevante” acerca de las aplicaciones y el sistema operativo.

Desde Apple aseguraron: “No estamos al tanto de que fueran afectados datos de identificación personal del cliente y el código tampoco tiene la posibilidad de solicitar las credenciales de los clientes para ganar acceso a iCloud y a otras contraseñas de servicios.”

Apple también explicó cómo ocurrieron las cosas: aparentemente los desarrolladores optaron por descargar Xcode en el marco de creación de aplicaciones desde un sitio de terceros.

Reconocieron que la razón por la cual los desarrolladores optaron por no descargar Xcode directamente de Apple fue su deseo de trabajar con versiones beta de Xcode, para ganar competitividad.

Apple también proporcionó instrucciones sobre cómo comprobar que la versión descargada de Xcode no se ha modificado, con respecto a la distribuida por la casa de Cupertino.

El éxito de XcodeGhost ilustra que saltarse los controles de certificación y la adquisición de software no es una práctica confiable, incluso en compañías de software establecidas con millones de usuarios.

Josep Verdura – Analista de Seguridad de Vintegris