Yahoo Finanças Gerenciador de senhas teria falha de segurança que permite roubo de credenciais
Uma suposta brecha de segurança no gerenciador de senhas KeePass vem sendo refutada pelos próprios desenvolvedores, enquanto é apontada por especialistas como um vetor de ataque contra usuários. Através da abertura, atacantes podem manipular os arquivos de configuração do software e exportar o banco de credenciais salvas assim que o usuário faz o login, tendo acesso aos dados sem proteção alguma.
A falha, rastreada como CVE-2023-24055, exige que o responsável pelo golpe tenha acesso de escrita ao dispositivo em que o KeePass está instalado, algo que pode ser obtido por meio de malware, acesso remoto e intrusões diretas. Depois, bastaria injetar um comando malicioso no arquivo de configuração do gerenciados para que o banco de senhas seja exportado no próximo login do usuário, em segundo plano e sem que ele saiba que o comprometimento aconteceu.
A abertura já foi comprovada em provas de conceito e chegou a ser motivo de alerta das unidades do CERT (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança) em países como Bélgica e Holanda. Enquanto isso, usuários solicitam que o time responsável pelo KeePass libere atualizações que resolvam o problema ou, pelo menos, desabilitem o recurso de exportação de banco de senhas ou adicionem notificações relacionadas a isso.
Enquanto não existem registros de ataques cibercriminosos contra os usuários, a notícia vem em um momento ruim para os usuários de gerenciadores de senhas, que ainda estão se recuperando dos incidentes recentes com o LastPass. Um dos principais nomes do mercado foi vítima, no ano passado, de golpes que levaram à exposição de códigos fonte e outros elementos que podem colocar a segurança dos utilizadores em risco.
O KeePass, entretanto, era considerado uma alternativa segura por ser offline, permitindo que os usuários gerenciassem suas senhas de forma desconectada da nuvem, o que reduziria o risco de exposição. De código aberto, o programa gratuito tem versão Windows, conversões para macOS e mobile feitas pela comunidade e também uma edição portátil, que pode ser levada para qualquer lugar em um drive USB. Segundo os desenvolvedores do projeto, porém, não há motivo para pânico.
Falha é generalizada e atinge qualquer app, dizem responsáveis
Segundo os desenvolvedores do KeePass, se um atacante possui acesso de escrita a um dispositivo, ele pode realizar diferentes atividades maliciosas, não restritas apenas ao gerenciador de senhas. Eles acreditam que a brecha de segurança não deve ser considerada como tal, muito menos restrita ao software, já que outros meios além da exportação também poderiam ser usados para obter acesso aos dados dos usuários.
Eles citam, por exemplo, a implantação de malware para registro de informações digitadas ou até a substituição do executável do KeePass por uma versão maliciosa — tudo decorrente do comprometimento da máquina, e não do próprio app. Os desenvolvedores apontam que o problema agora encarado como suposta falha é comentado pela empresa desde 2019 em informes de segurança.
Ainda segundo os responsáveis, o KeePass não pode funcionar de forma “magicamente” segura em um ambiente que esteja comprometido. Por isso, a recomendação é de uso de antivírus e outras soluções de segurança, assim como a atualização de softwares e sistemas operacionais, além do cuidado com downloads, arquivos anexos, sites maliciosos e outros vetores comuns de comprometimento. Usuários avançados também podem trabalhar as configurações do gerenciador de forma local, mitigando a possibilidade de exportação do banco citada na CVE-2023-24055.
Fonte: Canaltech
Trending no Canaltech:
Homem de 45 anos gasta 10 milhões de reais por ano para "voltar" aos 18
Cometa C/2022 E3 fica perto da Terra nos próximos dias. Saiba como vê-lo!
IA avançada poderia exterminar humanidade, alertam pesquisadores de Oxford
Rochas formadas por plástico são descobertas em ilha no Espírito Santo
O que são as "pedras elétricas" da República Democrática do Congo?
