\n
![](\"https:\/\/imagenes.elpais.com\/resizer\/BpLgREV9wLw63wiUKvxFDRo-7zA=\/arc-anglerfish-eu-central-1-prod-prisa\/public\/Y7GNJCLXKFEYHEDJ5CYH2RCM4E.jpg\")
<\/p>\n [ad_1]
\n<\/p>\n
\u201cEncontr\u00e9 accidentalmente un problema de seguridad mientras hac\u00eda pruebas de rendimiento de cambios\u201d, escribi\u00f3 el ingeniero Andr\u00e9s Freund en la red social Mastodonte. <\/a>Ese hallazgo casual impidi\u00f3 que progresara una de las operaciones m\u00e1s largas y sofisticadas para obtener acceso ileg\u00edtimo a millones de dispositivos de todo el mundo.<\/p>\n El mensaje llevaba un enlace. donde Freund explicaba c\u00f3mo hab\u00eda encontrado<\/a> \u201cun pu\u00f1ado de s\u00edntomas raros\u201d al actualizar un programa. Le llam\u00f3 la atenci\u00f3n que usaba m\u00e1s capacidad de su procesador y que, sobre todo, tardaba medio segundo m\u00e1s en acceder. Ese medio segundo levant\u00f3 su sospecha y le permiti\u00f3 descubrir el trabajo oscuro durante m\u00e1s de dos a\u00f1os de presuntamente una agencia de inteligencia estatal.<\/p>\n \u201cEs muy poco probable que haya sido obra de aficionados. No hab\u00eda recompensas inmediatas\u201d, dice Lukasz Olejnik, investigador y consultor independiente en ciberseguridad y autor del libro Filosof\u00eda de la Ciberseguridad<\/i> (sin traducci\u00f3n al espa\u00f1ol). \u201cEl tiempo dedicado a esta operaci\u00f3n de enga\u00f1o, la sofisticaci\u00f3n del sistema de puerta trasera y su c\u00f3digo, todo indica hacia una organizaci\u00f3n o agencia que puede permitirse un proyecto as\u00ed. Simplemente, es mucho m\u00e1s probable que se haya hecho pagando sueldos\u201d.<\/p>\n El ataque era de los llamados de la cadena de suministro, que afecta al software que sostiene los programas m\u00e1s conocidos y habituales. En este caso, el objetivo era una herramienta de compresi\u00f3n usada en Linux, un sistema operativo gratuito y de c\u00f3digo abierto. <\/a>Esa herramienta se usa en millones de m\u00e1quinas. El objetivo del ataque es similar a crear una puerta trasera con una llave especial, que solo ten\u00edan ellos, para acceder a cualquier edificio del mundo que tuviera esa entrada.<\/p>\n Este sistema se mantiene gracias a desarrolladores voluntarios que dedican horas a mantener y actualizar distintos programas. Este se llamaba XZ Utils. Hace algo m\u00e1s de dos a\u00f1os el atacante comenz\u00f3 a colaborar con el programador que estaba al cargo de actualizar este software. El encargado de actualizar y responder por correo a peticiones de retoques de otros desarrolladores estaba sobrepasado. Una parte del ataque consist\u00eda en pura ingenier\u00eda social: convencerle de que dejara parte de sus tareas a alguien detr\u00e1s de una cuenta de alguien que se hac\u00eda llamar Jia Tan.<\/p>\n Si el atacante lograba la confianza del encargado de ese c\u00f3digo podr\u00eda, con el tiempo, colocar su c\u00f3digo malicioso. Si no hubiera sido detectado, este software habr\u00eda sido desplegado en millones de servidores y dado un acceso privilegiado. No est\u00e1 claro si la intenci\u00f3n era usarlo para entrar en una o varias m\u00e1quinas espec\u00edficas o un ataque m\u00e1s masivo.<\/p>\n A pesar de que el c\u00f3digo y el m\u00e9todo requieren de extraordinarias habilidades inform\u00e1ticas, el control de estos programas depende a menudo de desarrolladores estresados \u200b\u200by con sus problemas. En un hilo de mensajes el encargado admite no llegar a todo:<\/a> \u201cNo he perdido el inter\u00e9s, pero mi capacidad de implicarme se ha visto bastante limitada, en su mayor\u00eda debido a problemas de salud mental a largo plazo, pero tambi\u00e9n por algunas otras razones. Recientemente, colabor\u00f3 \u200b\u200bfuera de lista con Jia Tan en XZ Utils y, quiz\u00e1s, \u00e9l tendr\u00e1 un papel m\u00e1s importante en el futuro, veremos. Tambi\u00e9n es importante tener en cuenta que este es un proyecto de afici\u00f3n sin remuneraci\u00f3n\u201d, escribe el encargado, cuyas \u00fanicas nuevas explicaciones. han sido que de momento no responder\u00e1 a periodistas<\/a> \u201cporque primero necesito entender la situaci\u00f3n lo suficientemente a fondo\u201d.<\/p>\n \u201cHay un mont\u00f3n de gente quemada en el software, tanto en el de c\u00f3digo abierto como en el comercial. En este caso puede ser \u00fatil, pero no es un factor decisivo\u201d, dice Olejnik. \u201cEs una prueba contundente de que incluso el software de nicho u oscuro, semi-hu\u00e9rfano, puede ser un asunto de seguridad nacional e internacional. Es un coste oculto del software. Por otro lado, nadie puede culpar al mantenedor de XZ, no hay una amplia elecci\u00f3n de desarrolladores para este tipo de software\u201d, a\u00f1ade.<\/p>\n Es probable que otras cuentas falsas presionen al encargado para que cediera antes su trabajo a Jia Tan. El caso revela a la vez un \u00e9xito y un agujero de la comunidad que mantiene buena parte del c\u00f3digo de toda nuestra infraestructura digital. El agujero es que encontrar el eslab\u00f3n d\u00e9bil es relativamente f\u00e1cil. El \u00e9xito es que el c\u00f3digo est\u00e1 disponible y accesible para que alguien como Andr\u00e9s Freund pueda detectar la trampa y hacerse famoso.<\/p>\n El propio Freund cree que esta vez tuvo suerte: \u201cNo es que crea que no hice nada nuevo. Lo hice. Lo que quiero decir es que tuvimos una cantidad irracional de suerte y no podemos solo confiar en algo as\u00ed de ahora en adelante\u201d, escribi\u00f3 en Mastodon. El ataque es especial por la combinaci\u00f3n de factores, pero los bloques de software de c\u00f3digo libre sobre los que se basa en internet han sido atacados en otras ocasiones, tambi\u00e9n por presuntas agencias de inteligencia. Es probable de hecho que haya otros casos similares en marcha o planteamiento. Con c\u00f3digo cerrado tambi\u00e9n ha habido casos extremadamente c\u00e9lebres. <\/a><\/p>\n La puerta trasera xz fue detectada inicialmente por un ingeniero de software de Microsoft. Not\u00f3 un retraso de 500 ms y pens\u00f3 que algo era sospechoso.<\/p>\n Este es el gorila de espalda plateada de los nerds. El jefe final de Internet. pic.twitter.com\/6IyJQ2tpMm<\/a><\/p>\n \u2014 vx-underground (@vxunderground) 30 de marzo de 2024<\/a><\/p><\/blockquote>\n<\/div>\n Una cuenta c\u00e9lebre de X (antes Twitter) dedicada al c\u00f3digo malicioso ha hecho un meme viral de agradecimiento a Freund. \u201cLa puerta trasera de xz la pill\u00f3 un ingeniero de software de Microsoft. Se dio cuenta de una latencia de 500 milisegundos y pens\u00f3 que hab\u00eda algo raro. Este tipo es el gorila de espalda plateada de los frikis. El puto amo de internet.\u201d<\/p>\n Tiene a\u00fan m\u00e1s sentido este otro meme que muestra c\u00f3mo, en este caso, el software esencial del mundo era \u201cmantenido sospechosamente por un actor pagado por un estado en horas de oficina\u201d. El dibujo original en que se basa ese meme es obra del dibujante Randall Munroe y en la leyenda pone algo parecido a lo que ocurre en la realidad<\/a>: \u201cUn proyecto que una persona cualquiera de Nebraska lleva manteniendo desde 2003 sin que nadie se lo agradezca\u201d.<\/p>\n Puedes seguir a <\/i>EL PA\u00cdS Tecnolog\u00eda<\/b><\/i> es<\/i> Facebook<\/i><\/a> y <\/i>X<\/i><\/a> o apuntarte aqu\u00ed para recibir nuestra <\/i>bolet\u00edn semanal<\/i><\/a>.<\/i><\/p>\n<\/div>\n\n\n