Los piratas informáticos han demostrado que pueden eludir la seguridad de Windows Hello utilizando una cámara USB falsa que transmite imágenes infrarrojas capturadas de un objetivo que parece que Windows Hello acepta con mucho gusto.
El problema parece ser la voluntad de Windows Hello de aceptar cualquier cámara con capacidad de infrarrojos como una cámara de Windows Hello, lo que permite a los piratas informáticos ofrecer un flujo de datos manipulados en lugar de reales a la PC.
Además, resulta que los piratas informáticos solo tienen que enviar dos fotogramas a la PC-una captura de infrarrojos real del objetivo y un marco negro en blanco. Parece que el segundo marco es necesario para engañar a las pruebas de vida de Windows Hello.
CyberArk Labs dice que la imagen de infrarrojos puede ser capturada por cámaras especiales de infrarrojos de largo alcance o por cámaras colocadas subrepticiamente en el entorno del objetivo, como un ascensor.
Microsoft ha reconocido la vulnerabilidad en un aviso CVE-2021-34466 y ha ofrecido seguridad de inicio de sesión mejorada de Windows Hello como mitigación. Esto solo permite que las cámaras Windows Hello que forman parte de la cadena criptográfica de confianza del OEM se utilicen como fuente de datos, algo que CyberArk señala que no es compatible con todos los dispositivos.
Lea todos los detalles en CyberArk aquí.