Computrace: amenaza oculta en la BIOS

Publicado el:
10/03/2016

El Equipo de Respuesta ante Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN-CERT, le informa sobre una posible amenaza oculta en la BIOS de los ordenadores portátiles más populares, a través del software de protección antirrobo Absolute Data & Device Security, también conocido como Absolute Computrace.

Al igual que otras soluciones de este tipo, esta aplicación se conecta con servidores remotos de forma autónoma para enviar mensajes que hagan referencia a la ubicación del equipo y poder proceder a su localización. Para establecer esta comunicación es necesaria la instalación y ejecución de un agente local pero se ha descubierto que, incluso en equipos en los que no se había instalado este agente de forma explícita, la comunicación seguía presentándose. Investigaciones han concluido que este software se instala desde la BIOS del dispositivo, de forma que incluso con un formateo o sustitución del disco duro permanece activo y puede comprometer el equipo de forma remota. De hecho, millones de ordenadores están ejecutando el software Absolute Computrace y un gran número de usuarios podrían no ser conscientes de que está activo y en funcionamiento.

Vulnerabilidades

Las capacidades de este software incluyen, entre otras, la lectura del disco duro del sistema, incluso en el caso en que este esté protegido mediante el Bitlocker de Windows, la ejecución de comandos y el intercambio de datos.

El agente Computrace se conecta con las siguientes direcciones IP y URL:

• search.namequery.com
• 209.53.113.223

Una vez establecida la comunicación, el agente espera órdenes por parte de los servidores para la ejecución de tareas.

Se ha verificado que la información intercambiada entre los agentes y los servidores no se encuentra protegida ni cifrada de forma que puede ser interceptada y manipulada por un atacante malicioso. Este atacante podría obtener datos del equipo y provocar la ejecución de software de manera no deseada.

Evidencias

La instalación del agente de Computrace se manifiesta con la presencia de los siguientes programas y librerías en la carpeta de sistema de Windows (c:\windows\system32):

• rpcnet.dll
• rpcnet.exe
• rpcnetp.dll
• rpcnetp.exe

Hay que destacar que el Computrace no se detecta con los sistemas antivirus, al estar marcado como aplicación fiable en las listas blancas de los mismos.

Recomendaciones

Para evitar esta vulnerabilidad se propone restringir la comunicación con los servidores a los que se conecta el agente de Computrace mediante las correspondientes reglas en los proxies, routers y firewalls correspondientes:

• search.namequery.com
• 209.53.113.223

Más información: