TONTOU, el ataque que roba contraseñas de Linux saltándose las protecciones de Intel y AMD

TONTOU es una amenaza innovadora que ha sacudido el mundo de la seguridad informática, demostrando cómo los sistemas de protección de los procesadores de Intel y AMD pueden ser superados.

Este ataque, presentado recientemente en las conferencias Black Hat USA y USENIX Security, pone de manifiesto una brecha temporal de nanosegundos que permite el robo de contraseñas raíz en Linux.

Descubre cómo esta técnica explota las defensas de los sistemas, abriendo una ventana de oportunidad que podría ser devastadora para la seguridad de los usuarios de Linux.

Qué es TONTOU y por qué importa

Descubre lo que es TONTOU, el innovador ataque que pone en jaque la seguridad de los sistemas Linux y los procesadores de Intel y AMD, y entérate por qué esta vulnerabilidad es crucial para la ciberseguridad actual.

Qué es el ataque TONTOU y qué significan sus siglas

TONTOU es un ataque innovador que explota un agujero temporal de nanosegundos en los procesadores de Intel y AMD. Este ataque, desarrollado por investigadores del MIT, aprovecha el momento en que las defensas del sistema de predicción no se activan simultáneamente, permitiendo la inyección de código malicioso.

El ataque demuestra cómo los sistemas de defensa pueden ser superados al controlar precisamente las interrupciones del sistema, permitiendo el acceso a áreas de memoria protegidas como la contraseña raíz de Linux en sistemas AMD.

Quién lo descubrió y dónde se presentó

TONTOU fue descubierto por el doctorando Daniël Trujillo y la profesora Mengjia Yan, del CSAIL del MIT. Se presentó por primera vez en agosto de 2026 en las conferencias Black Hat USA y USENIX Security.

Este innovador ataque explota un agujero de nanosegundos en los procesadores de Intel y AMD, permitiendo a los atacantes robar la contraseña raíz de Linux en solo cinco intentos.

Trujillo y Yan demostraron que las defensas de software y hardware no pueden activarse simultáneamente, lo que abre una ventana de vulnerabilidad.

Por qué es relevante pese a no ser un malware corriente

TONTOU, a pesar de no ser un malware convencional, es extremadamente relevante debido a su capacidad para explotar brechas de seguridad en los procesadores de Intel y AMD.

Esta vulnerabilidad demuestra que las defensas activadas antes y después de las predicciones especulativas en los procesadores no pueden funcionar simultáneamente, creando una ventana de oportunidad minúscula pero suficiente para inyectar código malicioso.

Los investigadores lograron robar la contraseña raíz del sistema Linux en un sistema AMD, lo que demuestra la aplicabilidad práctica de este ataque, no solo teórica. Esto subraya la necesidad urgente de actualizar los sistemas operativos para mitigar este riesgo.

Cómo funciona el ataque a nivel técnico

En esta sección, exploramos el ataque TONTOU post-neutralization window branch predictor interrupt injection desde una perspectiva técnica, desglosando su complejidad y explicando sus implicaciones en la seguridad informática.

Qué es la ventana post-neutralización que TONTOU aprovecha

La ventana post-neutralización en ataques como TONTOU es un intervalo crítico durante el cual el atacante puede explotar fallos en la predicción de ramas del procesador. Este tiempo es crucial porque permite al atacante inyectar interrupciones específicas antes de que el sistema neutralice completamente la vulnerabilidad.

TONTOU aprovecha este breve período para manipular la predicción de ramas del procesador, permitiendo una inyección de instrucciones maliciosas que pueden comprometer la seguridad del sistema. Esta técnica es especialmente efectiva en sistemas que no tienen mitigaciones adecuadas para este tipo de ataques.

La técnica de inyección de interrupciones paso a paso

La técnica de inyección de interrupciones aprovecha la ventana neutralización del predictor de ramos, un componente del procesador que predice las secuencias de ejecución para mejorar el rendimiento. Los atacantes pueden explotar esta característica insertando instrucciones maliciosas justo después de una interrupción para alterar el flujo de ejecución.

El proceso implica primero provocar una interrupción para desviar la ejecución del programa. Luego, durante la ventana crítica después de la interrupción, se inyectan instrucciones que modifican las características del sistema, como registros o memoria. Este ataque requiere precisión milimétrica en el momento de la inyección para ser efectivo.

Cómo re-contamina el predictor de saltos tras la limpieza

Una vez que el predictor de saltos ha sido limpiado, los ataques TONTOU buscan reconquistarlo a través de una ventana de tiempo llamada “post-neutralization”. Durante esta ventana, el atacante aprovecha debilidades en la seguridad del sistema para reintroducir patrones de comportamiento que contaminan el predictor.

El objetivo es forzar al predictor a predecir saltos incorrectos, lo que puede llevar a la ejecución de código malicioso. Este proceso requiere precisión en el momento de la inyección y un entendimiento profundo del comportamiento del predictor de saltos.

Qué consiguió robar en las pruebas del MIT

En las pruebas de seguridad del MIT, un conjunto de vulnerabilidades conocidas como TONTOU ha sido destapado, revelando cómo un robo en el kernel Linux de AMD Zen 2 se materializó a una tasa de solo bytes por segundo. Este párrafo introduce una serie de análisis sobre estas fallas de seguridad.

La filtración del archivo /etc/shadow con los hashes de contraseñas

En las pruebas del MIT, los hackers lograron acceder al archivo /etc/shadow, que contiene los hashes de contraseñas de los usuarios. Este ataque permitió a los intrusos obtener información crítica sobre la seguridad de los sistemas, poniendo en riesgo la integridad de los datos y el control de acceso.

Este tipo de filtración puede tener consecuencias graves, desde el uso de contraseñas comprometidas para acceder a sistemas internos hasta la implementación de medidas de seguridad más robustas para prevenir futuros ataques.

Ruptura del KASLR en un kernel Linux estándar

Los investigadores del MIT lograron romper el Kernel Address Space Layout Randomization (KASLR) en un kernel Linux estándar, lo que es un hito significativo en la seguridad de sistemas operativos. Este logro permitió a los atacantes acceder a direcciones de memoria esenciales, las cuales suelen estar ocultas para prevenir ataques.

La técnica usada implica un filtrado detallado de información, conocida como “shadow leak”, que aprovecha vulnerabilidades específicas de la arquitectura AMD Zen 2. Esto resultó en una tasa de filtrado de solo dos bytes por segundo, pero fue suficiente para comprometer la seguridad del sistema.

La velocidad real de fuga de datos y su tasa de acierto

Las pruebas del MIT revelaron que el robo de datos en el kernel de Linux AMD Zen 2 alcanzó velocidades de hasta 20 bytes por segundo.

Esto significa que la tasa de éxito en la extracción de información sensible fue significativamente alta, poniendo en evidencia una vulnerabilidad crítica en el sistema operativo.

Los investigadores destacan que esta tasa de fuga de datos es alarmante y requiere acciones inmediatas para fortalecer la seguridad.

Qué procesadores están afectados

En esta sección, exploramos qué procesadores específicos están afectados por las últimas actualizaciones y problemas de seguridad, incluyendo modelos de Intel y AMD.

Los modelos Intel y AMD probados por los investigadores

Los investigadores han probado varios modelos de procesadores tanto de Intel como de AMD para determinar la vulnerabilidad a la vulnerabilidad TONTOU.

Entre los procesadores Intel, se han evaluado los modelos Cascade Lake y Arrow Lake. Para AMD, los investigadores han centrado sus pruebas en los modelos Zen 2 y Zen 4.

La diferencia entre la defensa Safe RET de AMD y las mitigaciones de Intel

La tecnología de seguridad SafeRET implementada por AMD es una respuesta innovadora a las amenazas de seguridad en sus procesadores. A diferencia de las mitigaciones de Intel, SafeRET está diseñada para proteger contra ataques de escalada de privilegios a nivel de software, ofreciendo una capa adicional de seguridad.

Intel, por su parte, ha implementado diversas estrategias para mitigar riesgos similares, como las protecciones de memoria y ejecución segura. Sin embargo, estas soluciones pueden variar en complejidad y efectividad en comparación con la protección más directa proporcionada por SafeRET en los procesadores AMD.

Respuesta de cada fabricante: parche de AMD vs postura de Intel

AMD ha lanzado un parche específico para mitigar los efectos del ataque TONTOU en sus procesadores basados en arquitecturas Zen 2 y Zen 4, proporcionando a los usuarios una actualización inmediata para proteger sus sistemas.

En contraste, Intel ha adoptado una postura más cautelosa, sin ofrecer un parche específico hasta el momento. La compañía ha sugerido que los sistemas basados en sus arquitecturas Cascade Lake y Arrow Lake están menos expuestos al ataque, pero recomienda a los usuarios mantener sus sistemas actualizados con las últimas configuraciones de seguridad para mitigar riesgos.

Debes preocuparte y cómo protegerte

La seguridad en línea es cada vez más crucial, especialmente al considerar amenazas como TINTOU y Spectre v2 que pueden poner en riesgo tus datos personales. Aprende a identificar los peligros y cómo implementar medidas de protección efectivas.

Por qué es un ataque local y no una amenaza remota masiva

Un ataque local contra tu dispositivo es más preocupante que una amenaza remota masiva porque puede tener un impacto directo y personal en tu seguridad digital.

En un ataque local, el atacante tiene acceso físico a tu equipo y puede manipularlo de cerca, aprovechando vulnerabilidades específicas que no son evidentes en una investigación remota.

Esto significa que el atacante puede instalar malware, copiar datos sensibles o incluso alterar la configuración de tu sistema para su propio beneficio.

Medidas prácticas: actualizaciones de microcódigo y kernel

Las actualizaciones de microcódigo y kernel son medidas esenciales para proteger tu sistema contra amenazas como Spectre v2.

Estas actualizaciones incluyen parches específicos que mitigan riesgos de ataque locales asociados con vulnerabilidades como TONTOU, proporcionando una capa adicional de seguridad.

Es crucial mantener tu sistema operativo y firmware al día para aprovechar estas mejoras de seguridad. Asegúrate de revisar periódicamente las notas de la versión y las actualizaciones recomendadas de tu proveedor de software.

Qué esperar de los próximos parches de AMD e Intel

AMD e Intel trabajan constantemente para mejorar la seguridad de sus procesadores, respondiendo a nuevas amenazas como la variante Spectre v2.

Recientemente, ambas compañías han lanzado parches para mitigar el riesgo de ataques locales basados en el problema TONTOU, que es una versión avanzada de Spectre v2.

Estos parches no solo fortalecen la seguridad de los sistemas, sino que también buscan minimizar el impacto en el rendimiento del hardware.

Los usuarios pueden esperar actualizaciones periódicas que aborden nuevas vulnerabilidades y mejoras en la eficacia de los mecanismos de protección existentes.