Descubren fallo en TikTok que permitía el secuestro de cuentas en Android

Microsoft confirma el descubrimiento de un fallo en TikTok que permitía el secuestro de cuentas en Android

Microsoft encontró e informó de un fallo de alta gravedad en la aplicación de TikTok en Android en febrero, que permitía a los cibercriminales tomar el control de las cuentas “rápida y silenciosamente” con un solo clic, engañando a los objetivos para que hicieran clic en un enlace malicioso especialmente diseñado.

“Los atacantes podrían haber aprovechado la vulnerabilidad para apropiarse de una cuenta sin que los usuarios se dieran cuenta si un usuario objetivo simplemente hacía clic en un enlace especialmente diseñado”, dijo Dimitrios Valsamaras, del equipo de investigación de Microsoft 365 Defender.

“Los agresores podrían, entonces, haber accedido y modificado los perfiles de TikTok de los usuarios y su información sensible, como por ejemplo publicando vídeos privados, enviando mensajes y subiendo vídeos en nombre de los usuarios.”

Al hacer clic en el enlace se expusieron más de 70 métodos de JavaScript que podrían ser abusados por un atacante con la ayuda de un exploit diseñado para secuestrar el WebView de la aplicación TikTok (un componente del sistema Android utilizado por la aplicación vulnerable para mostrar contenido web).

Utilizando los métodos expuestos, los actores de la amenaza podrían acceder o modificar la información privada de los usuarios de TikTok o realizar peticiones HTTP autenticadas.

La vulnerabilidad de seguridad, rastreada como CVE-2022-28799, ya está parcheada desde el lanzamiento de la versión 23.7.3 de TikTok, publicada menos de un mes después de la revelación inicial de Microsoft.

Microsoft afirma que aún no ha encontrado pruebas de que el CVE-2022-28799 haya sido explotado en la naturaleza, pero no podemos negar que hay rastros de ventas de información de cuentas incluyendo credenciales en las profundidades del mercado negro que podrían haber sido afectadas por este tipo de vulnerabilidades.

Los usuarios de TikTok pueden defenderse de problemas similares no haciendo clic en enlaces de fuentes no fiables, manteniendo sus aplicaciones actualizadas, instalando únicamente aplicaciones de fuentes oficiales e informando de cualquier comportamiento extraño de la aplicación lo antes posible.

Fuente: ciberseguridadlatam.com

Comments are closed.

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR
Aviso de cookies