Recientemente, se descubrió un error en el software Razer Synapse que otorgaba acceso de administrador no autorizado . Ahora, se encontró un error similar en el software SteelSeries que le da a cualquiera que conecte un dispositivo un control completo sobre una PC con Windows 10 con derechos de administrador .
SteelSeries sigue a Razer
El investigador de seguridad Lawrence Amer decidió investigar después de que apareció la vulnerabilidad de Razer. Descubrieron que había un enlace en la pantalla del Acuerdo de licencia que se abre con privilegios del SISTEMA durante el proceso de configuración del dispositivo, lo que otorga acceso completo a una máquina con Windows 10 como administrador.
Amer abrió el enlace en Internet Explorer . Una vez allí, fue tan simple como guardar una página web e iniciar un símbolo del sistema elevado desde el menú contextual. Desde allí, puede moverse por la PC con privilegios elevados y hacer cualquier cosa que pueda hacer un administrador.
Esto se aplica a todo tipo de periféricos SteelSeries como ratones, teclados, auriculares, etc.
Ni siquiera necesitas un dispositivo real, ya que hay un método publicado en un video por el investigador István Tóth que en realidad emula un dispositivo SteelSeries o Razer y te permite iniciar el proceso de instalación sin siquiera conectar ningún hardware.
¿SteelSeries está abordando el problema?
Un portavoz de SteelSeries habló con BleepingComputer . Dijeron: «Somos conscientes del problema identificado y hemos desactivado proactivamente el lanzamiento del instalador SteelSeries que se activa cuando se conecta un nuevo dispositivo SteelSeries. Esto elimina inmediatamente la oportunidad de un exploit y estamos trabajando en una actualización de software que abordará el problema de forma permanente y se publicará pronto «.
Entonces, por el momento, parece que SteelSeries ha evitado el exploit. Sin embargo, según Amer, uno podría guardar el ejecutable firmado vulnerable en la carpeta temporal y aún ejecutarlo al conectar un dispositivo SteelSeries (o emular uno).
