Investigadores de la Universidad Tecnológica de Graz han demostrado que las funciones de notificación de archivos de los sistemas operativos pueden actuar como canales laterales para la actividad de usuarios y aplicaciones. Los mecanismos están diseñados para avisar al software cuando cambian los archivos, pero la información sobre el momento de los eventos y las rutas puede revelar comportamientos incluso cuando un atacante no puede leer el contenido de los archivos.
La exposición varía según el sistema operativo
Las demostraciones incluyeron la temporización de pulsaciones de teclas y la identificación de sitios web en Linux, la visibilidad de rutas entre usuarios en Windows y eventos multimedia de WhatsApp en Android. La mayoría de los escenarios requieren que un atacante ejecute código localmente, a menudo con otra cuenta; la prueba en Android utilizó una aplicación que no solicitaba permisos. El trabajo no demuestra por sí mismo un compromiso remoto, y los investigadores afirmaron no tener conocimiento de explotación en entornos reales.
Linux ha reforzado parcialmente los eventos de archivos de dispositivo asociados a una de las vías más graves. Microsoft indicó a los investigadores que el comportamiento de Windows es intencionado y subrayó que expone rutas, no el contenido de los archivos. El proyecto no indica una solución general para varios de los demás escenarios.
El aislamiento local sigue siendo importante
Los administradores deben limitar el código local no fiable, separar las cargas de trabajo sensibles y supervisar el uso inusual de las API de vigilancia de archivos cuando haya telemetría disponible. Los desarrolladores de aplicaciones deben reducir al mínimo la información sensible en los nombres de archivos y las rutas temporales. SectechMedia sigue los riesgos para los terminales en su cobertura sobre ciberseguridad.