Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

22/02/2018

Vulnerabilidades graves en los clientes de uTorrent

Encontradas vulnerabilidades graves en los clientes web y escritorio de uTorrent que permiten tomar el control de tus descargas para infectarte con malware.

Se han publicado hoy una serie de fallos de seguridad en los clientes web y de escritorio de uTorrent. Las vulnerabilidades hacen que un atacante puede infectar a las víctimas con malware y recopilar datos sobre las descargas del usuario.

El impacto estaría mas latente en la nueva versión web, pero la de escritorio también sufre de estos problemas relacionados con un servidor RPC expuesto en diferentes puertos y que un atacante puede utilizar para introducir comandos maliciosos en cualquier sitio web para interactuar con el servidor de uTorrent vulnerable, y así tomar el control de las descargas para posteriormente infectar el equipo con malware.

La operativa seguida sería cambiar el directorio de descargas de uTorrent por el de aplicaciones al inicio de windows y colocar en ese punto el malware, con lo que se ejecutaría automáticamente en el próximo reinicio.

Adicionalmente si se utiliza la versión web se han encontrado sitios web que intentan suplantar la identidad del servicio para posteriormente robar los credenciales de acceso y explotar estas vulnerabilidades de manera aún más efectiva y rápida.

Se han publicado dos páginas de demostración como prueba de concepto donde se explica paso a paso cómo explotar estas vulnerabilidades.

Las vulnerabilidades se han reportado al fabricante del software pero todavía no han aplicado ningún parche de seguridad, por lo que es muy recomendable dejar de utilizar este cliente p2p hasta que los problemas de seguridad estén solucionados.

Más información.

Sistemas Afectados:

Cualquiera que haga uso de la aplicaicón uTorrent, en sus versiones web y escritorio.

Referencias:

None

Solución:

De momento el fabricante no ha establecido ninguna solución.

Notas:

Prueba concepto 1

CSIRT-CV