Es habitual cada vez más que cuando vayas de visita a una nueva empresa una vez te hayas identificado te den una contraseña para disponer de acceso a Internet a través de una red de invitados. También incluso los trabajadores de la misma podemos utilizar nuestros smartphones o tablets personales aprovechando la política empresarial de BYOD (Bring your own device) (trae tu propio dispositivo» en inglés).

En este artículo se reproduce paso a paso como tomar el control del servidor de dominio mediante la instalación de una aplicación maliciosa en el móvil Android de un empleado.

En este caso se le manda un correo con el apk malicioso (de un inocente puzzle para niños) a una empleada, que al instalarlo y tener conectado a la red wi-fi de invitados su móvil, permite a los auditores (hackers), debido a un mal aislamiento entre la red wi-fi y la red corporativa, acceder al servidor web de la intranet, desde este tomar control del servidor de actualizaciones de Windows WSUS y finalmente acceder al controlador de dominio.

Lo que este artículo demuestra son dos cosas, primero que una política de BYOD debe ser respaldada por unas medidas de seguridad adecuadas y, segundo que la red de invitados debe estar totalmente aislada de la red corporativa.