Un fallo de compartición de pantalla permite a atacantes tomar el control total de los Mac: lo que hay que saber

Una vulnerabilidad recientemente revelada que afecta a macOS está siendo explotada activamente en la práctica, según investigadores de seguridad que afirman que el fallo permite a atacantes remotos obtener el control administrativo total de un Mac afectado sin necesidad de introducir nunca una contraseña. La vulnerabilidad reside en la función de compartición de pantalla del sistema operativo, una herramienta integrada que permite a un Mac ver y controlar remotamente a otro, utilizada normalmente para soporte técnico o trabajo remoto.

El fallo se origina en una debilidad de autenticación en la forma en que el servicio de compartición de pantalla gestiona las solicitudes de inicio de sesión bajo configuraciones específicas. Los investigadores que identificaron el exploit lo describen como un error lógico que permite a un atacante eludir por completo la solicitud estándar de contraseña bajo ciertas condiciones, obteniendo el mismo nivel de acceso que tendría un usuario legítimo tras autenticarse con éxito. Una vez dentro, un atacante tiene efectivamente el mismo control sobre la máquina que alguien sentado frente a ella, incluida la capacidad de instalar software, acceder a archivos y potencialmente moverse lateralmente hacia otros dispositivos en la misma red.

Lo que hace que esta clase de vulnerabilidad sea particularmente grave es la elusión de la autenticación en sí misma, más que cualquier necesidad de que el atacante adivine o robe una contraseña. Los ataques de acceso remoto tradicionales suelen depender de credenciales robadas, contraseñas débiles, o de engañar a un usuario para que apruebe una conexión maliciosa. Una elusión pura de la autenticación elimina esa barrera por completo, lo que significa que incluso los usuarios de Mac con contraseñas fuertes y únicas no están protegidos contra este vector de ataque específico si su sistema está, por lo demás, expuesto y es vulnerable.

Los investigadores de seguridad afirman que la explotación observada hasta ahora parece dirigida más que un escaneo masivo oportunista, aunque advierten que el código de exploit de prueba de concepto que circula en los círculos de investigación de seguridad aumenta el riesgo de que atacantes menos sofisticados comiencen a usar la técnica de forma más amplia. Una vez que los detalles técnicos de una vulnerabilidad de este tipo se hacen públicos, la brecha entre la explotación dirigida inicial y los ataques oportunistas generalizados suele estrecharse rápidamente.

La exposición principal se aplica a los Mac con la compartición de pantalla habilitada y accesibles desde fuera de una red local de confianza, una configuración más común en algunos entornos profesionales y empresariales que en el uso doméstico típico, donde los enrutadores suelen bloquear por defecto las conexiones entrantes no solicitadas. Los Mac con la compartición de pantalla deshabilitada, o aquellos accesibles solo desde dentro de una red local privada, enfrentan un riesgo sustancialmente menor, aunque los investigadores señalan que cualquier máquina en una red donde un atacante ya haya logrado infiltrarse podría seguir siendo vulnerable al movimiento lateral.

Apple ha sido notificado de la vulnerabilidad y, según la divulgación, se entiende que está desarrollando una solución, aunque la empresa no ha publicado un cronograma detallado para un parche. Mientras tanto, los investigadores de seguridad recomiendan a los usuarios de Mac y administradores de TI que comprueben si la compartición de pantalla está habilitada en cualquier sistema que no la requiera estrictamente, y que desactiven la función en las máquinas donde no se use activamente, particularmente en dispositivos con cualquier exposición a internet público.

Para las organizaciones que dependen de la compartición remota de pantalla con fines comerciales legítimos, como los equipos de soporte de TI que gestionan flotas distribuidas de dispositivos Mac, la mitigación inmediata generalmente recomendada consiste en restringir el acceso mediante una red privada virtual o reglas de cortafuegos que limiten qué direcciones IP pueden alcanzar el servicio de compartición de pantalla, en lugar de dejarlo ampliamente accesible. Esto no elimina el riesgo por completo, ya que los atacantes que comprometen un dispositivo ya dentro de la red de confianza aún pueden explotar la vulnerabilidad, pero reduce sustancialmente el conjunto de atacantes potenciales que pueden alcanzar el servicio expuesto en primer lugar.

La vulnerabilidad se suma a un patrón más amplio de atención a la seguridad de macOS que se ha intensificado a medida que ha crecido la adopción empresarial de la plataforma. Durante años, macOS gozó de cierta reputación, no del todo merecida incluso en su momento, de enfrentar menos amenazas de seguridad graves que Windows, lo que reflejaba en gran medida su menor cuota de mercado histórica más que alguna ventaja de seguridad inherente. A medida que la adopción de Mac se ha expandido de forma significativa en entornos corporativos, los atacantes han aumentado en consecuencia su atención hacia vulnerabilidades específicas de macOS, una tendencia que los investigadores de seguridad dicen que probablemente continúe a medida que crece la base instalada de la plataforma.

Hasta que Apple publique un parche oficial, la orientación de los investigadores de seguridad sigue siendo sencilla: evaluar si la compartición de pantalla es realmente necesaria en cualquier máquina dada, desactivarla donde no lo sea, y restringir el acceso a nivel de red al servicio en las máquinas donde deba permanecer activo. También se aconseja a los usuarios estar atentos a los avisos oficiales de seguridad de Apple sobre el parche, y aplicarlo con prontitud una vez que esté disponible, dada la gravedad del acceso que un atacante puede obtener a través de este fallo específico.