Un investigador de seguridad llamado Orange Tsai de la compañía de seguridad taiwanesa DEVCORE, estaba estudiando a fondo diferentes servidores de Facebook con el objetivo de encontrar vulnerabilidades de seguridad o fallos cuando accidentalmente se topó con un backdoor en uno de los servidores corporativos de Facebook.
Así descubrió el
backdoor en un servidor corporativo de Facebook
- Este investigador estaba escaneando todo el espacio de direcciones de Facebook, hasta que dio con un dominio que estaba utilizando una versión vulnerable de una aplicación, esta aplicación se encarga de la transferencia segura de archivos y es usada por los empleados de Facebook para compartir archivos y también para colaborar en nuevos desarrollos.
- Tsai analizó esta aplicación vulnerable y descubrió 7 fallos de seguridad (3 fallos de seguridad de tipo Cross-site scripting, 2 fallos de seguridad de ejecución de código remoto y otros 2 fallos de escalada local de privilegios de usuario). Entonces este investigador aprovechó dichas vulnerabilidades para acceder al servidor de Facebook y empezar a analizar la información que allí había para posteriormente realizar un documento con toda la información recogida y comunicárselo a la compañía para que solucionaran dicho fallo.
- Tsai se encontró que había instalado un backdoor que había sido puesto por un ciberdelincuente para obtener información de los credenciales de los trabajadores de Facebook. Tsai reportó estas vulnerabilidades y también que se encontró un backdoor en su interior, Facebook revisó su investigación y le recompensó con 10.000 dólares por su gran trabajo.
Los credenciales de
los usuarios no se han visto comprometidos
- Un detalle muy importante de este problema que encontró Tsai, es que el backdoor estaba en un servidor corporativo de la compañía, y los credenciales de los millones de usuarios están almacenados en un servidor central, que no está conectado a este servidor que han comprometido.
- Blog de Orange Tsai http://devco.re/blog/2016/04/21/how-I-hacked-facebook-and-found-someones-backdoor-script-eng-ver/
