Microsoft pre-instala un gestor de contraseñas vulnerable en Windows 10

El investigador de seguridad del Project Zero de Google, Tavis Ormandy, ha encontrado un plug-in vulnerable del gestor de contraseñas ‘Keeper’ pre-instalado en Windows 10. La vulnerabilidad es crítica «y es un compromiso completo de la seguridad ya que permite a un atacante robar las contraseñas de forma remota», explica.

El investigador (que ya había reportado una vulnerabilidad similar hace meses) encontró el plug-in de la versión de Keeper vulnerable en un sistema Windows 10 recién instalado, descargado directamente desde el Microsoft Developer Network. Para explicar la gravedad de esta vulnerabilidad, Ormandy ha publicado una prueba de concepto que roba la contraseña de Twitter de un usuario.

Ormandy no ha sido el único que ha encontrado este plug-in del gestor pre-instalado y otros usuarios de Reddit se han quejado al encontrar -oculto- este administrador de contraseñas.

A partir de Windows 10 Anniversary (versión 1607), Microsoft añadió una nueva característica denominada Content Delivery Manager que instala silenciosamente nuevas «aplicaciones sugeridas» sin pedir permiso de los usuarios. Parece que los fabricantes no aprenden de la problemática del nefasto Bloatware, fuente relacionada en este caso y escenario repetido, algunos tan graves como el Superfish de Lenovo.

Conviene aclarar que Keeper es uno de los mejores gestores de contraseñas y es seguro. De hecho, el investigador de Google informó previamente al desarrollador de la vulnerabilidad y ésta fue reconocida y corregida de inmediato con una nueva versión del plug-in para navegadores, v.11.4.4. Keeper lo notificó a los clientes y realizó un despliegue automático de la actualización en 24 horas. No hay informes de explotación de la vulnerabilidad y las aplicaciones regulares para escritorio y móvil no se han visto afectadas.

El problema aquí no es Keeper. The Hacker News señala que «Microsoft tiene que aclarar cómo instala un plug-in vulnerable en los equipos de los usuarios sin su conocimiento». No tenemos claro a qué número y tipo de usuarios afecta, pero si no quieres llevarte sorpresas desagradables y tienes activo el Content Delivery Manager, puedes bloquearlo con un sencillo cambio en el registro o directamente con este hack.