Las vulnerabilidades son fallos en el programa susceptibles de ser aprovechados por

ciberdelincuentes. Cuanto más perfecto es un sistema operativo, menos vulnerabilidades

tendrá. Y cuanto menos vulnerabilidades tenga, menos probabilidad hay de que sea
aprovechado por alguien que pueda afectar a nuestro ordenador.

Las empresas propietarias de los sistemas operativos trabajan para realizar actualizaciones
que permitan subsanar esas vulnerabilidades halladas. Por eso es importante tener
configurado tu ordenador para que se instalen las actualizaciones automáticamente y
verificar que dispones de los sistemas de seguridad adecuados.

Qué vulnerabilidades se han detectado en sistemas operativos

Todos estos fallos en los sistemas operativos se han detectado a raíz del Project Zero de
Google (un proyecto enfocado a buscar bugs en programas) y afectan a varios sistemas
operativos, entre ellos de Apple y Windows. Los técnicos de Google han informado 90 días
antes a los técnicos de estas empresas, pero al no recibir una contestación, los hizo
públicos.

Veamos cuáles son esas vulnerabilidades de las que ha informado Google:

En relación con Mac:

1ª vulnerabilidad: que está relacionada con XPC de netwokd, el demonio utilizado por OS X
para el manejo de redes.
2ª vulnerabilidad: tiene que ver con la ejecución IO/Kit, que está en el kernel, por una
referencia a un puntero nulo en el IntelAccelerator.
3ª vulnerabilidad: tiene relación con una corrupción de memoria por la conexión con
Bluetooh.
La vulnerabilidad de Windows afecta a Windows 8.1. El peligro es que los usuarios con
pocos permisos podrían conseguir el control completo de la administración. No obstante,
como ya advirtió Windows en su momento, para que realmente existiera un riesgo primero
el atacante tendría que disponer de credenciales para iniciar sesión en el equipo. No
obstante, después de que se publicaran noventa días después de descubrirlo, Windows ha
solucionado este exploit en su última actualización.

¿Cómo te afectan las vulnerabilidades de un sistema operativo?

¿Por qué te contamos todo esto? Porque un elemento fundamental de la seguridad de tu
equipo es sin duda el sistema operativo. Mantenerlo actualizado te permitirá tener el
software al día, al menos de los errores conocidos hasta ahora. Si todavía sigues utilizando
sistemas operativos antiguos, como XP, del que ya no se realizan actualizaciones, ni hay
soporte técnico “mainstream”, eres más vulnerable a los ataques informáticos.

El laboratorio de ESET ha registrado numerosos ejemplos de fallos de este tipo. Uno fue el
descubrimiento de una vulnerabilidad en Flash Player que habría sido supuestamente
utilizada durante los últimos meses por Corea del Norte para espiar a sus vecinos del sur.
Tras el análisis de esta vulnerabilidad se descubrió que afectaba a la versión de Flash
Player 28.0.0.137 y anteriores en sistemas operativos Windows, MacOS y GNU/Linux,
además de a la versión instalada en navegadores Chrome, Microsoft Edge e Internet
Explorer. Al parecer, los atacantes incluían un fichero SWF dentro de un documento de
Word enviado por email para que, al abrirse, se ejecutase o descargase un malware en el
sistema de la víctima.

A través de su boletín mensual de actualizaciones de seguridad también se supo que

Microsoft había solucionado numerosas vulnerabilidades en aplicaciones y sistemas
operativos. Las más peligrosas afectaban al gestor de correo Outlook, siendo sorprendente
la facilidad con la que un atacante podría ejecutar código malicioso en un sistema
vulnerable. La primera de estas vulnerabilidades permitiría a un atacante tomar el control
del sistema simplemente con la previsualización de un fichero especialmente modificado, y
que venía adjunto al email, siempre que el usuario estuviera registrado con permisos de
administrador. La segunda vulnerabilidad crítica no requería siquiera que se previsualizara
el mensaje; el envío de un email especialmente modificado provocaría que Outlook
intentase cargar el mensaje al ser recibido, permitiendo la ejecución de código
automáticamente sin interacción alguna por parte del usuario.

En lo que respecta al navegador MS Edge, se reveló un grave fallo que permitiría a un

atacante saltarse las restricciones SOP que incluye y aceptaba solicitudes que deberían ser
ignoradas. “A pesar de que la posibilidad de explotación de esta vulnerabilidad es limitada,
un ataque dirigido podría obtener información confidencial muy interesante desde el
navegador”, explica Josep Albors, responsable de investigación y concienciación de ESET
España.

También se ha observado una docena de fallos que provocan corrupción en la memoria del
navegador y una vulnerabilidad grave en el componente de Windows Structured Query, que
permite la ejecución de código con los permisos del usuario registrado en el sistema. No
obstante, en este caso se requiere que la víctima abra un archivo o pulse sobre un enlace
que le lleve a una web maliciosa controlada por el atacante.

Tampoco se deben olvidar, dice ESET, las vulnerabilidades presentes en millones de

dispositivos que forman parte de Internet de las Cosas. Se trata de vulnerabilidades que son
aprovechadas por los criminales para usarlas en su propio beneficio. Si en 2016 vimos las
posibilidades de una botnet formada por dispositivos IoT, la evolución que ha seguido este
malware desde entonces no ha dejado de añadir funcionalidades. Una de las más recientes
permite utilizar los dispositivos infectados como servidores proxy, además de lanzar ataques
de denegación de servicio distribuidos (DDoS) como hasta ahora. Esto permitiría a los
delincuentes utilizar estos dispositivos para camuflar sus conexiones y hacer más difícil
detectar desde dónde se lanzan.