Un investigador revela cómo los auriculares de realidad virtual de Meta son vulnerables a los ataques de ransomware
En una exploración sin precedentes de la seguridad de los cascos de realidad virtual, el investigador Harish Santhanalakshmi Ganesan ha demostrado un método para enviar malware a los cascos Quest 3 de Meta, destacando una nueva e importante superficie de amenaza. Este desarrollo marca una entrada notable en el ámbito de los ataques informáticos espaciales, que han sido relativamente raros.
El interés de Ganesan se despertó por las afirmaciones en Reddit que afirmaban la dificultad de instalar malware en Quest 3 VR sin habilitar el modo de desarrollador. Tomando esto como un desafío, se propuso investigar las posibles vulnerabilidades del dispositivo. Sus hallazgos revelan un método preocupante que permite la instalación de cualquier APK en Quest 3, facilitado por su versión restringida subyacente del Proyecto de código abierto de Android (AOSP).
A través de una simple investigación en línea, incluidos tutoriales de YouTube, Ganesan descubrió que una aplicación del App Lab de Meta podría proporcionar acceso al administrador de archivos nativo de Android. Utilizando esto, instaló con éxito el ransomware CovidLock en sus auriculares. CovidLock es conocido por apuntar a dispositivos Android haciéndose pasar por una aplicación de seguimiento de COVID-19, obteniendo permisos para bloquear a los usuarios fuera de sus dispositivos y mostrar notas de rescate.
La conclusión fundamental de la investigación de Ganesan no es el malware específico utilizado sino el proceso que descubrió, que podría explotarse para distribuir cualquier malware mediante ingeniería social. En una entrevista con SecurityWeek , aclaró: "Esta investigación no trata sobre una vulnerabilidad en Meta Quest 3 sino sobre una superficie de ataque que permite a las personas descargar malware sin opciones de desarrollador".
Ganesan no ha publicado los detalles técnicos de su método, pero cree que sería relativamente sencillo para los actores maliciosos replicar el proceso. Sugiere que los atacantes podrían utilizar la ingeniería social para engañar a los usuarios para que instalen aplicaciones maliciosas en sus auriculares Quest 3, convirtiendo potencialmente esas aplicaciones en administradores de dispositivos sin necesidad del modo de desarrollador.
Dado que el problema no se debe a una vulnerabilidad técnica, es poco probable que Meta responda con un parche. En cambio, la investigación de Ganesan sirve como una advertencia crítica para los usuarios de realidad virtual sobre los peligros de los ataques de ingeniería social. Aconseja a los usuarios de realidad virtual que tengan cuidado y eviten descargar aplicaciones, haciéndose eco de los consejos de seguridad que se dan comúnmente a los usuarios de teléfonos inteligentes.