Según Statista, el streaming de audio ha superado más de 750 millones de usuarios de pago en diversas plataformas y aplicaciones, mientras que el streaming de video acumula más de 155 millones de suscriptores; en ambos casos hablando de cifras a nivel mundial.

Los riesgos que existen en las apps de streaming no oficiales incluyen que muchas de estas aplicaciones no se encuentran en tiendas oficiales como Google Play Store o App Store, lo que obliga al usuario a dirigirse a sitios web alternos. Estos sitios suelen evitar los controles de calidad y seguridad que imponen las tiendas oficiales, lo que los convierte en un terreno fértil para la distribución de software malicioso.

“Una de las señales de maliciosidad de estas apps, es la excesiva habilitación de permisos especiales y críticos, en el dispositivo. Estas aplicaciones pueden comprometer la seguridad del dispositivo y de toda la red doméstica y ser la puerta de entrada para malware, desde spyware y troyanos hasta herramientas diseñadas para robar información personal”, advierte David Gonzalez Cuautle, Investigador de ESET Latinoamérica.

El uso de estas plataformas, según ESET, también implica un riesgo legal ya que retransmitir contenido sin contar con los derechos correspondientes vulnera la propiedad intelectual de los titulares. Esto puede derivar en bloqueos por parte de proveedores de servicios de Internet o incluso en acciones judiciales.

Magis TV: un ejemplo de los riesgos

Desde ESET se analizó como muestra y ejemplo, una aplicación que ha ido ganando popularidad en los últimos meses, sobre todo en Argentina, Colombia y México. Se presenta como un medio para ver series, películas y deportes en vivo sin pagar una suscripción mensual.

El análisis de la aplicación (APK) de Magis TV mostró que existen permisos críticos e invasivos que no corresponden a una aplicación convencional de streaming y que pueden ser aprovechados con malas intenciones, retomando la clasificación de potencialmente indeseables (PUA).

Entre los permisos que se solicitan al utilizar esta app se encuentran:

• android.permission.GET_TASKS: Permite que una aplicación recupere información sobre las tareas que se ejecutan y puede facilitar que aplicaciones maliciosas descubran información privada sobre otras aplicaciones. Así un atacante podría obtener información confidencial sobre el uso del dispositivo o datos de otras aplicaciones.
• android.permission.MOUNT_UNMOUNT_FILESYSTEMS: Permite que la aplicación monte y desmonte sistemas de archivos para almacenamiento extraíble. Un atacante podría causar daños comprometiendo la seguridad del dispositivo.
• android.permission.POST_NOTIFICATIONS: Permite que una aplicación publique notificaciones, lo que habilitaría el envío de spam, phishing o contenido inapropiado.
• android.permission.READ_EXTERNAL_STORAGE: Un atacante podría acceder a fotos, videos, documentos y otros archivos almacenados en la tarjeta SD, incluyendo información sensible, al permitir la lectura desde el almacenamiento externo.
• android.permission.READ_MEDIA_AUDIO: Permite la lectura de archivos de audio desde el almacenamiento externo. Esto facilitaría acceder a grabaciones de voz, música y otros archivos de audio guardados en el almacenamiento externo, incluyendo información sensible.
• android.permission.REQUEST_INSTALL_PACKAGES: Las aplicaciones maliciosas pueden usar esto para intentar engañar a los usuarios y que instalen paquetes maliciosos adicionales. Un atacante podría distribuir malware o spyware haciéndolo pasar por una actualización legítima o una aplicación útil.
• android.permission.WRITE_EXTERNAL_STORAGE: Permite que una aplicación escriba en el almacenamiento externo, lo que podría habilitar a un atacante a modificar o borrar archivos importantes, inyectar malware en el almacenamiento externo o robar datos. Esto podría resultar en la pérdida de datos, el compromiso del dispositivo o el robo de información personal.

“Estos riesgos implican que el robo de información de los usuarios que utilizan este tipo de aplicaciones es teóricamente factible con los permisos antes mencionados. Ello se debe a la criticidad de los permisos al momento de instalar la aplicación, puesto que pueden descargar e instalar otras herramientas o aplicaciones capaces de rastrear la geolocalización, acceder a contenido multimedia como fotos, audios, mensajes y videos, y enviarlos a servidores externos sin el consentimiento del usuario”, agrega Gonzalez Cuautle de ESET.

Otros peligros de buscar streaming gratuito: Set Top Boxes

Los Set Top Boxes (STB), también conllevan el peligro de ser la entrada de malware, ya que pueden ser modificados o pirateados, en la mayoría de los casos e infectar la TV con malware de publicidad invasiva, robo de datos, y acceso remoto no autorizado a la red doméstica.

ESET analiza una de las formas en que esto ocurre

1. STB con software malicioso: si el dispositivo ha sido modificado para ejecutar apps piratas o firmware no oficial, puede contener malware que afecte tanto al STB como a la TV (si tiene un sistema operativo vulnerable, como Android TV customizado).
2. Apps maliciosas: si se instalan aplicaciones de fuentes no confiables en el STB o la TV, estas pueden contener spyware, troyanos o infostealers.
3. Red compartida: si el STB infectado está en la misma red WiFi que la TV, un malware avanzado podría propagarse a otros dispositivos conectados.
4. USB infectado: algunas STB modificadas requieren instalar archivos desde una memoria USB, lo que puede ser un vector de infección.

“Instalar una aplicación fuera de las tiendas oficiales puede presentar la posibilidad de que el dispositivo sea comprometido y usado como medio para propagar malware. Es decisión de cada persona evaluar si vale la pena dejar en bandeja de plata (a atacantes) su información, solo por evitar pagar una suscripción”, concluye David González Cuautle de ESET Latinoamérica.

ESET invita a conocer más sobre seguridad informática visitando: https://www.welivesecurity.com/es/

Para obtener otros útiles datos preventivos está igualmente disponible en Venezuela: https://www.eset.com/ve/, y sus redes sociales @eset_ve. También Instagram (@esetla) y Facebook (ESET).

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

“Los usuarios buscan un navegador que les brinde una experiencia fluida al momento de consumir e interactuar con cualquier tipo de contenido, cada uno de estos tiene características particulares en el cómo muestran y guardan la información, sin embargo, también son una puerta para que el móvil pueda infectarse con un malware y llevarse la información, esto por parte de ciberdelincuentes, sino se tienen instaladas las actualizaciones correspondientes o se descargan archivos infectados que logren aprovecharse de alguna vulnerabilidad”, advierte David González Cuautle, Investigador de Ciberseguridad del equipo de ESET Latinoamérica.

Según GS.statcounter, Chrome fue el navegador dominante en teléfonos inteligentes con una participación de mercado del 65,75%. Safari ocupó la segunda posición con un 21,47%, principalmente debido a su integración con iPhone. Samsung Internet obtuvo el tercer puesto con una cuota del 3,54% mientras que Opera tuvo un uso por parte del mercado del 1,63%. Samsung Internet cuenta con vulnerabilidades hasta el 2022. Hoy en día no se tienen registros por parte de la marca donde se haya encontrado nuevos fallos y riesgos en el navegador. Mientras que para Opera Web sucede lo mismo, su registro de vulnerabilidades es de hace más de 6 años.

No obstante, desde ESET destacan que esto no quiere decir que sean navegadores totalmente seguros ya que todo depende de cómo los utilice el usuario final.

ESET, detalla el top 5 de vulnerabilidades más explotadas (durante la segunda mitad del 2024) en los navegadores móviles más utilizados:

En el navegador Google Chrome

1. CVE-2024-9956: Esta vulnerabilidad fue publicada el 10 de octubre, es una implementación inadecuada en WebAuthentication de Google Chrome en Android. Permite a un atacante local realizar una escalación de privilegios a través de una página HTML elaborada para explotar esta vulnerabilidad, con lo cual podría instalar malware del tipo infostealer o troyano. Los dispositivos afectados son Android que cuenten con la versión no actualizada.
2. CVE-2024-8907: Vulnerabilidad publicada en septiembre, consiste en una validación insuficiente de datos en Omnibox (barra de direcciones del navegador, que también se conoce como cuadro multifunción) en Google Chrome en Android. Versiones anteriores permiten a un atacante vía remota convencer a un usuario de participar en gestos específicos de IU (interfaz de usuario) para inyectar scripts arbitrarios o HTML (XSS) a través de gestos de interfaz. Los dispositivos afectados fueron Android con la versión no actualizada.
3. CVE-2024-8639: Una vulnerabilidad publicada el 11 de septiembre, consiste en aprovecharse del autocompletado de Google Chrome en Android. Permite a un atacante vía remota explotar potencialmente esta falla a partir de la suplantación de una página HTML. Los dispositivos afectados fueron Android con la versión no actualizada.
4. CVE-2024-8637: Publicada en septiembre, consiste en aprovecharse del servicio del navegador que permite enviar contenido de Chrome a un dispositivo con Chromecast habilitado (Chrome Media Router). Las versiones anteriores a la 128.0.6613.137 le permiten a un atacante vía remota explotar potencialmente esta falla a partir de la suplantación de una página HTML. Los dispositivos afectados fueron Android con la versión no actualizada.
5. CVE-2024-8034: Esta vulnerabilidad de agosto, consiste en una implementación inadecuada de las pestañas personalizadas de Google Chrome en Android. Permiten a un atacante vía remota explotar potencialmente esta falla a partir de la generación de miles de pestañas de una página HTML. Los dispositivos afectados fueron Android con la versión no actualizada.

En el navegador Safari

1. CVE-2024-54534: Vulnerabilidad publicada el 11 de diciembre, sino se tiene actualizado el navegador, una aplicación maliciosa puede ser capaz de acceder a información sensible y privada de la víctima a través de las fallas de memoria con lo cual puede escalar privilegios en el dispositivo afectado. Además de que el atacante puede ser capaz de alterar el tráfico de la red y generar una denegación de servicio. Los dispositivos afectados son watchOS 11.2, visionOS 2.2, tvOS 18.2, macOS Sequoia 15.2, Safari 18.2, iOS 18.2 y iPadOS 18.2 con las versiones mencionadas.
2. CVE-2024-54508: Publicada en diciembre, sino se tiene actualizado el navegador, una aplicación maliciosa puede ser capaz de acceder a información sensible y privada de la víctima a través de las fallas de memoria con lo cual puede escalar privilegios en el dispositivo afectado, además de que el atacante puede ser capaz de alterar el tráfico de la red y generar una denegación de servicio. Debido a una validación insuficiente de la lista de lectura de Safari se puede revelar la dirección IP originaria del sitio web. Si se tiene acceso físico al dispositivo iOS el atacante puede ser capaz de ver el contenido de notificación desde la pantalla de bloqueo. Los dispositivos afectados son watchOS 11.2, visionOS 2.2, tvOS 18.2, macOS Sequoia 15.2, Safari 18.2, iOS 18.2 y iPadOS 18.2 con las versiones mencionadas.
3. CVE-2024-54505: Una vulnerabilidad publicada en diciembre del 2024, sino se tiene actualizado el navegador, una aplicación maliciosa puede ser capaz de acceder a información sensible y privada de la víctima a través de las fallas de memoria con lo cual puede escalar privilegios en el dispositivo afectado. Además, el atacante puede ser capaz de alterar el tráfico de la red y generar una denegación de servicio, incluyendo acceder a partes de la memoria para generar procesos maliciosos. Debido a una validación insuficiente de la lista de lectura de Safari se puede revelar la dirección IP originaria del sitio web. Si se tiene acceso físico al dispositivo iOS el atacante puede ser capaz de ver el contenido de notificación desde la pantalla de bloqueo. Los dispositivos afectados son iPadOS 17.7, watchOS 11.2, visionOS 2.2, tvOS 18.2, macOS Sequoia 15.2, Safari 18.2, iOS 18.2 y iPadOS 18.2 con las versiones mencionadas.
4. CVE-2024-44309: Vulnerabilidad publicada en noviembre, sino se tiene actualizado el navegador, permite al atacante procesar contenido web para causar una ejecución arbitraria de código. Apple fue consciente de un informe de que este tema pudo haber sido explotado activamente en los sistemas Mac basados en Intel. Los dispositivos afectados son Safari 18.1.1, iOS 17.7.2 y iPadOS 17.7.2, macOS Sequoia 15.1.1, iOS 18.1.1 y iPadOS 18.1.1, visionOS 2.1.1 con las versiones mencionadas.
5. CVE-2024-44259: Esta vulnerabilidad fue publicada en octubre, sino se tiene actualizado el navegador, un atacante puede ser capaz de abusar de una relación de confianza para descargar contenido malicioso. En la navegación privada se puede filtrar el historial de navegación, además las cookies pueden redirigirse hacia donde el atacante decida. Los dispositivos afectados son: iOS 17.7.1 y iPadOS 17.7.1, visionOS 2.1, iOS 18.1 e iPadOS 18.1, macOS Sequoia 15.1, Safari 18.1 con las versiones mencionadas.

En el navegador Firefox

1. CVE-2024-9680: Una vulnerabilidad que fue actualizada el 18 de noviembre y reportada por Damien Schaeffer de ESET (Malware Reseacher). Un atacante puede ser capaz de lograr la ejecución de código en el proceso de contenido explotando la animación de líneas de tiempo. Versiones anteriores a 131.0.2, Firefox ESR 128.3.1, Firefox ESR 115.16.1, Thunderbird 131.0.1, Thunderbird 128.3.1 y Thunderbird 115.16.0 son las afectadas, mientras que los dispositivos afectados son Android, PC.
2. CVE-2024-9936: Publicada en octubre, cuando se manipula el nodo de la memoria caché, el atacante puede ser capaz de generar un comportamiento anómalo por el potencial de poder explotar otras características del navegador afectado. Versiones anteriores a 131.0.3 son vulnerables. Dispositivos afectados: Android, PC.
3. CVE-2024-9397: Vulnerabilidad publicada en octubre, una demora en el directorio para la carga de archivos de la UI (Interfaz de Usuario) puede hacer posible que un atacante engañe al usuario para obtener permisos vía clickjacking (ataque a la interfaz de un sitio web que engaña a los usuarios para que hagan clic en enlaces maliciosos sin saberlo). Versiones anteriores a Firefox 131, Firefox ESR 128.3, Thunderbird 128.3 y Thunderbird 131 son vulnerables. Dispositivos afectados: Android, PC.
4. CVE-2024-9403: Vulnerabilidad publicada en octubre, los errores de seguridad de la memoria presentes en Firefox 130. Algunos de estos errores mostraron evidencia de corrupción en la memoria e indican que con suficiente esfuerzo algunos de estos podrían haber sido explotados para ejecutar código arbitrario. Versiones anteriores a Firefox 131 y Thunderbird 131 son vulnerables. Los dispositivos afectados son Android, PC.
5. CVE-2024-9400: Esta vulnerabilidad fue publicada en octubre, una potencial vulnerabilidad de corrupción en la memoria podría desatarse si un atacante tuviera la capacidad de desencadenar una OOM (proceso llamado Out Of Memory killer por sus siglas en inglés y es cuando el sistema tiene poca memoria. Este proceso revisa otros procesos y termina los que están utilizando más memoria de la que deberían) en un momento específico durante la compilación de JIT. Versiones anteriores a Firefox 131, Firefox ESR 128.3, Thunderbird 128.3 y Thunderbird 131 son vulnerables. Los dispositivos afectados son Android, PC.

“Las vulnerabilidades persistentes evidencian la necesidad de mayor concientización entre los usuarios. No adoptar buenas prácticas, como mantener actualizadas las aplicaciones móviles y de escritorio, puede facilitar el robo de información y su venta en mercados negros. Incluso las vulnerabilidades de bajo impacto pueden comprometer la seguridad de nuestros dispositivos, por lo que es fundamental estar informados y tomar medidas preventivas”, concluye González Cuautle, de ESET Latinoamérica.

Coordenadas de contacto con ESET: https://www.eset.com/ve/. También sus redes sociales: Instagram (@esetla) y Facebook: (ESET)

DOBLE LLAVE

Con información e imagen referencial suministradas por ESET y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos

Los modelos tradicionales de Inteligencia Artificial se basan en modelos estadísticos que reconocen patrones a partir de datos existentes y son más aprovechados para contextos analíticos y predictivos. En el auge de la IA, se creó una nueva categoría llamada generativa que tiene el potencial de (re)construir o (re)producir contenido proveniente de algún texto, imagen, video, audio o código fuente, tan verosímil como el usuario lo permita. Los modelos generativos pueden producir nuevos datos (artificiales) usando datos reales (alimentados por el usuario) y crear información nueva; aquel horizonte que existía hasta hace un par de años solo en los libros de ciencia ficción o las películas va acercándose cada vez más a la realidad.

La IA Generativa reside en el ciberespacio y, por consecuencia, existen riesgos asociados que pueden afectar tanto a personas como empresas o gobiernos, ESET identifica principalmente 5:

1.- Moderación de contenidos

Algunas de las redes sociales, sitios web o aplicaciones no son legalmente responsables, o son muy ambiguos, en lo que refiere a los contenidos subidos por sus usuarios, como ideas o publicaciones hechas por terceros o subyacentes, ni el contenido generado por IA: aun cuando cuentan con términos de uso, normas de comunidad y políticas de privacidad que protejan los derechos de autor, hay un vacío legal que sirve de blindaje para los proveedores ante una violación de derechos de autor.

El usuario cuenta con un fácil acceso y una enorme disponibilidad de herramientas de IA Generativa que son poco claras, incluso contradictorias, en sus políticas de uso e implementación.

2.- Infracción de los derechos de autor e imagen

En los Estados Unidos, en mayo 2023, una Huelga del Sindicato de Guionistas, comenzó una serie de conflictos a la que se le unió en julio del mismo año el Sindicato de Actores en Hollywood. Las principales causas de este movimiento se debieron a la petición de un aumento salarial derivado del auge de las plataformas digitales, ya que hubo un incremento en la demanda/creación del contenido y buscaban que las ganancias fueran repartidas proporcionalmente entre guionistas/actores y las grandes compañías.

Otro motivo fue el abuso de la IA Generativa por parte de estas compañías para producir contenido sin el consentimiento del actor o actriz de usar su rostro y voz para fines comerciales, por lo que solicitaron un nuevo contrato que los protegiera de la explotación de su identidad y talento -sin su consentimiento ni remuneración- para esta tecnología. La originalidad de algún contenido independientemente de la fuente, con la llegada de la IA Generativa cada vez parece ser más difusa. En este caso, muchos derechos de autor y permisos de imagen fueron ignorados por grandes compañías, generando una enorme molestia y como consecuencia de esto Estados Unidos optó por implementar recursos legales que protegieran a ambas partes.

3.- Privacidad

Para que los modelos de IA Generativa puedan funcionar correctamente necesitan de grandes volúmenes de datos para ser entrenados, pero ¿qué sucede cuando este volumen puede obtenerse de cualquier fuente pública como videos, audios, imágenes, textos o códigos fuente sin el consentimiento del titular? Es aquí donde, según ESET, las plataformas, aplicaciones y redes sociales debieran apegarse al marco normativo sobre la privacidad de datos de cada país en caso de existir, de lo contrario apoyarse en el Reglamento General de Protección de Datos (GDPR) del Parlamento Europeo que ya incluye una sección para la IA.

4.- Cuestiones éticas

Aquellos países donde las regulaciones en materia de IA son escasas o nulas, son aprovechados por algunos usuarios para fines nada éticos como la suplantación de identidad (voz, imagen o video) para crear perfiles falsos que usan para cometer fraude/extorsión a través de alguna plataforma, aplicación o red social, o también lanzar campañas de phishing sofisticadas o estafas del tipo catfishing.

5.- Desinformación

Aprovechando este tipo de IA las prácticas de difusión de noticias falsas en plataformas y redes sociales se ven mejoradas. La viralización de estos contenidos engañosos generados llega a perjudicar la imagen de alguna persona, comunidad, país, gobierno o empresa.

“La IA Generativa presenta riesgos particulares que deben abordarse de manera cuidadosa para garantizar su uso ético y seguro. Estos riesgos incluyen desde la moderación del contenido que suben los usuarios, hasta aquel engañoso, sesgado o perjudicial para evitar la manipulación de información”, menciona David González Cuautle, Investigador de Seguridad Informática de ESET Latinoamérica.

Al considerar estos riesgos, desde ESET señalan que es esencial implementar estrategias preventivas y correctivas, tales como:

• Filtrado y moderación efectiva: Desarrollar sistemas de filtrado y moderación robustos que puedan identificar y eliminar contenido inapropiado, engañoso o sesgado generado por modelos de IA Generativa. Esto ayudará a mantener la integridad de la información y a prevenir posibles consecuencias negativas.
• Entrenamiento con datos éticos y diversificados: Garantizar que los modelos de IA Generativa se entrenen con conjuntos de datos éticos, imparciales y representativos. La diversificación de los datos contribuye a reducir sesgos y a mejorar la capacidad del modelo para generar contenido más equitativo y preciso.
• Transparencia en la regulación del contenido: Establecer regulaciones que permitan a los usuarios comprender cómo se genera el contenido, el tratamiento que reciben los datos y las implicaciones que puede llegar a tener en caso de no cumplir.
• Evaluación continua de la ética y la calidad: Implementar mecanismos de evaluación continua para monitorear la ética y la calidad del contenido generado. Estos mecanismos pueden incluir auditorías regulares, pruebas de robustez y colaboración con la comunidad para identificar y abordar posibles problemas éticos.
• Educación y conciencia pública: Promover la educación y la conciencia pública sobre los riesgos asociados con la IA Generativa. Fomentar la comprensión de cómo funcionan estos modelos y cuáles son sus posibles impactos permitirán al usuario participar activamente en la discusión y en la exigencia de prácticas éticas por parte de los desarrolladores y empresas.

Se puede conocer más sobre seguridad informática en el portal de ESET: https://www.welivesecurity.com/5-principales-desafios-inteligencia-artificial-generativa/

Le puede interesar igualmente: ESET; sector de la Salud fue uno de los más atacados por el cibercrimen

DOBLE LLAVE

Con información e imagen referencial suministrada por ESET Latinoamérica y Comstat Rowland

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en Twitter e Instagram puedes conocer