Gestor de passwords Passwordstate comprometido por actualização maliciosa

Os utilizadores do gestor de passwords Passwordstate estão a passar pelo pior pesadelo para quem usa um gestor de passwords, com atacantes a terem conseguido tirar partido do sistema de actualização para instalar malware.

Hoje em dia está praticamente implícito que qualquer programa receba actualizações de segurança de forma automática. O problema é que até isso se pode tornar num vector de ataque, como demonstra este caso. O Passwordstate da Click Studios é um gestor de passwords para o sector empresarial, sendo normalmente utilizado para guardar as passwords de acesso a firewalls, VPNs, e outros serviços. Só que esse mercado mais restrito tornou-o também num alvo preferencial para estes atacantes.

Um grupo de hackers ainda desconhecidos conseguiu infiltrar-se e usar o sistema de actualizações para instalar malware que enviava as passwords e outra informação para os atacantes. E demonstrando que este ataque foi bem planeado, era um malware que não era ainda reconhecido como ameaça por nenhum dos sistemas de anti-virus e malware existentes.

Esta vertente de ataque não se limita aos gestores de passwords, na prática aplicando-se a todo e qualquer software que conte com uma política de actualizações automáticas. É imperativo que as empresas tratem o processo de actualizações como sendo de importância crítica, senão, é de esperar que este tipo de ataques se torne cada vez mais frequente no futuro - com potencial para enormes danos entre os utilizadores.