Kindle i malware: riscos reals, errors de seguretat i com protegir-te

Durant anys hem pensat que el Kindle era un aparell totalment inofensiu, gairebé com un llibre de paper amb pantalla. No obstant això, la realitat és que també pot ser una porta d'entrada per a ciberatacs si es combinen certes fallades de seguretat amb llibres electrònics maliciosos. No és el més habitual del món, però la possibilitat existeix i convé conèixer-la per no endur-se ensurts amb les dades personals i bancàries.

En els darrers temps, diverses investigacions d'empreses com Check Point Research han demostrat que un simple ebook pot servir per prendre el control dun Kindle, esborrar el seu contingut, convertir-lo en un bot o fins i tot robar credencials dAmazon i dades de pagament. Anem a veure amb calma què ha passat, com funcionaven aquestes vulnerabilitats, què ha fet Amazon per solucionar-les i, sobretot, què pots fer tu per fer servir el teu Kindle amb cap i sense paranoia gratuïta.

Pot un ebook infectar el teu Kindle amb codi maliciós?

La pregunta que molts es fan és molt directa: “si descarrego llibres gratis d'Internet, poden ficar un virus al meu Kindle?La resposta llarga és que, encara que no és el normal, sí que s'han trobat casos en què un fitxer de llibre electrònic manipulat aprofitava errors del programari del lector per executar codi maliciós.

Un usuari típic pot tenir ebooks descarregats al mòbil o l'ordinador des de pàgines de llibres gratuïts i després transferir-los per USB o mitjançant la funció Enviar a Kindle. El simple fet que vinguin d'una web de descàrregues no significa automàticament que siguin perillosos, però si algú dissenya un fitxer específicament per explotar una vulnerabilitat del firmware, aquest llibre es pot convertir en un vector d'atac.

Segons les anàlisis publicades, el propi format de l'ebook pot amagar codi especialment preparat per desencadenar una cadena d'explotació quan el Kindle processa el fitxer. A la pràctica, això vol dir que, en obrir el llibre, el dispositiu interpreta certes dades de forma errònia i l'atacant aconsegueix executar instruccions amb permisos elevats.

El més inquietant daquest tipus datacs és que no cal que l'usuari faci res estrany: només cal descarregar l'ebook, que arribi al dispositiu i obrir-lo com qualsevol altre llibre. No hi ha finestres emergents ni peticions estranyes; l'explotació de la vulnerabilitat passa en segon pla.

Les troballes de Check Point Research sobre Kindle i malware

La gran sacsejada va arribar quan Check Point Research (CPR) va publicar una investigació centrada en la seguretat d'Amazon Kindle. El seu equip d'Intel·ligència d'Amenaces va decidir analitzar a fons el lector d'ebooks més popular del món i va descobrir diverses vulnerabilitats al programari que permetien atacs molt seriosos.

En aquesta prova, els investigadors van preparar un llibre electrònic maliciós específicament dissenyat per aprofitar errors en el processament intern dels fitxers per part del Kindle. Un cop l'usuari obria aquest ebook, s'iniciava automàticament una cadena de codi maliciós sense necessitat de més accions: ni botons, ni confirmacions, ni instal·lar res addicional.

D'acord amb els informes, si l'atac tenia èxit el ciberdelinqüent podia agafar el control total del dispositiu. Això incloïa la possibilitat de robar el token del dispositiu, accedir a informació confidencial com les credencials del compte d'Amazon i fins i tot a les dades bancàries associades al compte que es fan servir per comprar llibres o pagar subscripcions com Kindle Unlimited.

Eusebio Nieva, director tècnic de Check Point Software per a Espanya i Portugal, va explicar que els Kindle se solen percebre com a aparells “innocs”, però al fons són ordinadors en miniatura connectats a Internet. Això significa que comparteixen molts dels mateixos riscos que un mòbil o un ordinador, però normalment no hi pensem com un objectiu prioritari.

A les proves realitzades, CPR va confirmar que l'ebook maliciós es podia descarregar des de qualsevol biblioteca virtual: no només des de webs de reputació dubtosa, sinó també des de la pròpia Kindle Store aprofitant la funció d'autopublicació, i fins i tot a través del sistema Enviar a Kindle per correu electrònic.

Com funcionen els atacs amb ebooks maliciosos a Kindle

El mecanisme general de l'atac documentat per Check Point era relativament senzill des del punt de vista de l'usuari: rebia o descarregava un llibre aparentment normal, l'obria i, a partir d'aquí, el codi maliciós es posava en marxa. La complexitat era com l'arxiu explotava les vulnerabilitats internes del microprogramari del Kindle.

A la demostració tècnica, l'ebook maliciós era capaç de executar codi amb permisos de superusuari dins del sistema del lector. Això permetia accions tan intrusives com connectar-se a un servidor remot de l'atacant, bloquejar la pantalla, manipular el contingut de l'emmagatzematge intern o recopilar dades sensibles desades al dispositiu.

Les conseqüències potencials anaven molt més enllà de fastiguejar un parell de llibres. L'equip de CPR va demostrar que l'atacant podia esborrar tota la biblioteca de l'usuari, convertir el Kindle en un bot dins d'una xarxa zombi per atacar altres equips de la mateixa xarxa local, o accedir a claus, galetes i credencials del compte d'Amazon vinculat.

A més, aquestes vulnerabilitats obrien la porta a atacs dirigits per idioma, regió o grup demogràfic. Només cal publicar un ebook gratuït molt atractiu en un idioma concret (per exemple, un bestseller en romanès) per assegurar-se que pràcticament totes les víctimes siguin d'aquest país o parlin aquesta llengua, una cosa molt desitjable per a campanyes de ciberdelinqüència o ciberespionatge.

Un altre factor rellevant que van assenyalar els investigadors és que els antivirus tradicionals no solen analitzar ebooks com si fossin executables. Això significa que un llibre modificat amb finalitats malicioses pot passar desapercebut en escanejats de seguretat, estar disponible gratis a biblioteques virtuals (inclosa la Kindle Store) i acumular descàrregues sense aixecar sospites.

Autopublicació a Kindle Store i servei Enviar a Kindle com a vectors d'atac

Una de les claus de tota aquesta història és l'enorme facilitat que ofereix Amazon per autopublicar llibres. Qualsevol persona pot pujar el seu propi ebook, sense passar per una editorial tradicional ni controls editorials massa estrictes, una cosa fantàstica per a autors independents, però que també pot ser aprofitada per atacants.

Check Point detalla que els ciberdelinqüents podien pujar un llibre maliciós a la Kindle Store com si fos un títol gratuït més, amb una aparença totalment innocent. Els usuaris, atrets pel contingut o el preu zero, el descarregaven i, a partir d'aquí, s'activava la vulnerabilitat en obrir el fitxer al dispositiu.

Un altre canal sensible és la funció que permet enviar documents al lector mitjançant correu electrònic, que molts coneixen com Send to Kindle. Cada usuari té una adreça especial que acaba a kindle.com; qualsevol fitxer enviat des d'una adreça autoritzada es transforma en un llibre llegible al lector.

Si aquesta llista de remitents autoritzats no es configura bé, qualsevol persona podria enviar un fitxer al Kindle del propietari sense que aquest ho esperi. En un escenari d'atac, algú podria intentar explotar aquest sistema per colar un ebook manipulat directament al dispositiu, confiant que l'usuari l'obri amb normalitat.

Els experts recomanen per això revisar la configuració de Enviar a Kindle i limitar-la només a adreces de confiança. D'aquesta manera, es redueix el risc de rebre documents sorpresa que puguin amagar contingut maliciós pensat per aprofitar vulnerabilitats futures o desconegudes.

Gravetat de les vulnerabilitats i riscos per a les dades bancàries

Les vulnerabilitats detectades a Kindle no eren simples errors estètics; segons Check Point, podien “causar greus danys” si queien en mans equivocades. No només estava en joc la integritat del propi lector, sinó la privadesa i seguretat del compte d'Amazon associat, incloent-hi possibles dades de facturació.

En comprometre el dispositiu, un atacant podia robar qualsevol informació emmagatzemada al Kindle: des del token intern que l'identifica davant dels serveis d'Amazon fins a les credencials d'accés, passant per galetes de sessió i altres dades tècniques que permeten vincular l'aparell al compte de l'usuari.

En escenaris extrems, això podria derivar que el ciberdelinqüent comprés continguts al compte de la víctima, accedís a informació de pagament o utilitzara aquestes dades en combinació amb altres robatoris per a fraus més sofisticats. Tot i que no s'ha documentat una campanya massiva real basada en aquest exploit, el potencial hi era i era considerable.

A més, en poder transformar el Kindle en un bot, l'atacant guanyava una peça més a la seva infraestructura de ciberdelinqüència. Un lector aparentment innocent podria participar en atacs contra altres dispositius de la xarxa local, com ordinadors, mòbils o fins i tot routers, ampliant limpacte de la intrusió iniciada per un simple ebook.

Els experts també subratllen que aquestes vulnerabilitats eren especialment atractives per a atacs dirigits, ja que un llibre molt popular en un país concret es pot convertir en el cavall de Troia ideal per arribar a milers de ciutadans d'un perfil molt concret sense aixecar sospites.

Cronologia del problema i pegat d'Amazon (firmware 5.13.5)

Davant la magnitud de la troballa, Check Point va actuar seguint el procediment de divulgació responsable. El febrer de 2021 va notificar a Amazon les fallades de seguretat trobades a Kindle i va proporcionar els detalls tècnics necessaris perquè el fabricant pogués investigar i corregir el problema.

Després d'analitzar els informes, Amazon va desenvolupar una actualització de microprogramari que incloïa un pegat per tancar les vulnerabilitats explotades per l'ebook maliciós. Aquesta correcció va arribar a l'abril del 2021 sota la versió 5.13.5 del programari dels Kindle.

L'actualització es va distribuir automàticament a tots els dispositius que estaven connectats a Internet. És a dir, si el Kindle es connectava periòdicament a una xarxa WiFi i tenia les actualitzacions automàtiques activades, descarregava i instal·lava el nou firmware sense que l'usuari hagués de fer res més.

Tot i això, molts lectors solen estar temps sense connectar-se o s'usen en mode molt aïllat, sense sincronitzar amb freqüència. En aquests casos, el dispositiu pot haver quedat amb una versió antiga del microprogramari i continuar sent vulnerable si no es força una actualització manual o es connecta a la xarxa el temps suficient.

Des de diverses fonts s'insisteix que, encara que no consta una campanya massiva a gran escala aprofitant aquest bug, l'existència de la vulnerabilitat era real i potencialment molt perillosa. La bona notícia és que el problema concret descobert per Check Point està resolt sempre que el dispositiu tingui instal·lada la versió aplicada.

Riscos del navegador experimental i altres vectors menys evidents

No tot el risc a Kindle passa pels llibres. També existeix l'anomenat navegador experimental, que alguns usuaris usen de forma puntual per consultar pàgines web senzilles. Tot i que la seva funcionalitat és limitada, no deixa de ser una porta a Internet i, per tant, un vehicle d'exposició possible a contingut maliciós.

Hi ha casos de persones que expliquen com, en accedir a una web des del navegador del Kindle, el dispositiu va començar a comportar-se de forma estranya, tancant el navegador de cop i quedant-se momentàniament bloquejat. Davant la por a un possible atac, alguns opten per mesures dràstiques com esborrar galetes i memòria cau, tancar la pàgina i fins i tot restaurar el lector a valors de fàbrica.

En la majoria de situacions, aquest tipus de comportaments es deuen més a errors del propi navegador oa pàgines mal optimitzades per al dispositiu que a un atac real. Tot i això, en tenir vinculades targetes de crèdit, dèbit o serveis com Amazon Prime, la preocupació de l'usuari és perfectament comprensible.

Si en algun moment notes alguna cosa rara en navegar des del Kindle, una pauta raonable és tancar el navegador, esborrar dades de navegació i, si la sospita és forta, revisar que el dispositiu estigui actualitzat. El restabliment de fàbrica és una opció més radical que torna l'aparell al seu estat inicial, esborrant configuració i continguts locals (però no els llibres del núvol).

L'important és entendre que, encara que és tècnicament possible que es detectin vulnerabilitats relacionades amb la navegació web a Kindle, no és el vector d'atac més estudiat ni el més explotat públicament. La major part del focus s'ha situat als ebooks com a tal i com es gestionen dins del sistema.

Mesures bàsiques per utilitzar Kindle amb seguretat davant del codi maliciós (malware)

Més enllà dels detalls tècnics, el que interessa a qualsevol lector és saber què pot fer en el dia a dia per minimitzar riscos. Afortunadament, amb unes quantes pautes de sentit comú es pot reduir moltíssim la probabilitat de problemes sense renunciar a la comoditat del dispositiu.

El primer pas és tenir sempre el Kindle actualitzat a la darrera versió de microprogramari disponible. Si ho sols tenir desconnectat, convé connectar-lo a WiFi de tant en tant i comprovar a Paràmetres que el programari està al dia. Això és clau perquè els pegats de seguretat arriben precisament mitjançant aquestes actualitzacions.

També és recomanable vigilar d'on procedeixen els ebooks que descarregues. No es tracta de demonitzar totes les webs de llibres gratuïts, però sí d'evitar pàgines sospitoses, descàrregues estranyes o fitxers que apareguin de forma inesperada. Com més confiïs en l'origen del llibre, menor serà la probabilitat que amagui una cosa rara.

Quant a la funció Enviar a Kindle, val la pena entrar a la configuració del teu compte i revisar la llista d'adreces de correu autoritzades. L'ideal és que només estiguin les teves pròpies adreces o les de persones i serveis en què confies de debò. Com menys correus puguin enviar fitxers directament al teu lector, millor.

Per acabar, no està de més recordar que un Kindle, igual que un mòbil o un ordinador, no hauria de prestar-se alegrement a qualsevol per instal·lar coses o connectar a xarxes desconegudes. Encara que sembli un aparell “només per llegir”, comparteix molts dels mateixos principis bàsics d'higiene digital que la resta de dispositius connectats.

Mirant tot el panorama, s'entén que el Kindle no és una joguina inofensiva, però tampoc una bomba de rellotgeria. Amb els pegats que Amazon ha llançat, les investigacions que han sortit a la llum i unes mínimes precaucions per part de l'usuari, llegir en un Kindle segueix sent una de les formes més còmodes i, en general, segures de gaudir de llibres digitals, sempre que no perdem de vista que sota la tinta electrònica hi ha un petit ordinador que també mereix ser protegit.