Un hacker ético ha desarrollado una herramienta llamada TotalRecall que demuestra cómo los datos recopilados por la función Recall de Windows pueden ser fácilmente robados. La herramienta, creada por Alexander Hagenah, permite a los atacantes acceder a información confidencial almacenada en la base de datos SQLite de la función.
Recall y sus riesgos
Microsoft anunció recientemente una nueva línea de PCs con Windows 11 llamada Copilot+, que incluye la función Recall. Esta característica toma instantáneas de la pantalla cada pocos segundos, las cifra y almacena localmente. Además, utiliza el reconocimiento óptico de caracteres (OCR) para extraer información relevante y almacenarla en una base de datos SQLite, en texto plano.
En teoría, solo el usuario debería poder acceder a esta base de datos cuando inicia sesión en la computadora. Sin embargo, en la práctica, malware y delincuentes informáticos pueden acceder a ella, así como otros usuarios que comparten el dispositivo.
Criticas y pruebas
El investigador de seguridad Kevin Beaumont probó la función y demostró que la extracción de las bases de datos de Recall puede automatizarse. «La recuperación permite a los actores de amenazas automatizar la extracción de todo lo que has visto en cuestión de segundos», dijo.
Beaumont criticó también a Microsoft por habilitar la función de forma predeterminada, obligando a los usuarios a deshabilitarla manualmente. Además, señaló que incluso si Recall está desactivado, los atacantes pueden activarlo fácilmente con PowerShell sin que el usuario se dé cuenta.
El propósito de TotalRecall
Hagenah inicialmente estaba motivado por la curiosidad: quería saber qué podía hacer con la función y si podría abusar de ella. Sin embargo, al descubrir que no era seguro utilizarla, decidió crear conciencia entre el público.
TotalRecall encuentra la base de datos de Recall, copia las capturas de pantalla tomadas y la base de datos SQLite en una carpeta de extracción, analiza las bases de datos en busca de artefactos especificados por el usuario (por ejemplo, contraseñas, términos de búsqueda, información de tarjetas de crédito, etc.) y luego entrega un resumen que incluye esos artefactos.
No planea realizar cambios en la herramienta. «El PoC permanece como está. Tengo mucha curiosidad por saber qué hará MS antes del lanzamiento de Recall», dijo.
Próximos pasos
Copilot+ Recall está programado para lanzarse el 18 de junio de 2024. Si Microsoft no decide retrasarlo o descartarlo todo (lo cual es poco probable), se espera que realice cambios para abordar estas fallas de seguridad.