Investigadores encuentran vulnerabilidad en impresoras

Investigadores de la Universidad de Columbia aseguraron que millones de impresoras contienen firmware vulnerable, el cual puede ser modificado por algún intruso para realizar acciones maliciosas, esto de acuerdo al blog Red Tape Chronicles, de MSNBC.

La investigación realizada en el laboratorio de Ciencias de la Computación de la Escuela de Ingeniería y Ciencias Aplicadas en la Universidad de Columbia, mostró que existe una falla en el firmware de algunos modelos viejos de impresoras de HP y posiblemente en otras marcas.

El problema radica en el método de actualización del firmware de la impresora, ya que no cuenta con un mecanismo de autenticación para controlar el acceso a la función de actualización remota de firmware (Remote Firmware Update), esta falla hace que un intruso pueda modificar el comportamiento de la impresora fácilmente.

El profesor Salvatore Stolfo y su compañero, el estudiante e investigador Ang Cui, realizaron ingeniería inversa al software de una impresora para causar un sobrecalentamiento que bien podría causar un incendio dado que el interruptor térmico no actuó para prevenir el mismo.

En una demostración realizada, Cui imprimió una orden de impuestos, misma que se envió a la computadora del intruso donde se buscó un número de seguro social (SSN) en la hoja y lo publicó en Twitter.

De acuerdo al reporte, ambos investigadores mostraron las fallas a las agencias federales en una junta privada y notificaron al fabricante en las últimas semanas.

Cui y un estudiante de doctorado de la Instituto Politécnico de NYU, están agendados para realizar la demostración de más vulnerabilidades como ésta en la edición 28 del Chaos Communication Congress en Berlín. Mostrarán un rootkit que puede monitorear, interceptar y manipular trabajos de impresión en los equipos HP P2050, y mostrarán qué tan grave es esta vulnerabilidad.

“Estimamos que existen al rededor de 100 mil impresoras HP que pueden ser comprometidas con este tipo de ataques”, menciona la sinópsis de la conferencia, a la cual llamaron “Print Me If You Dare.” (Imprímeme si puedes).