Atom

Executive summary — Atom is a Windows machine built around a poorly designed software-update channel: an SMB share writable by an anonymous guest lets an attacker deliver a malicious "update" to an automated QA process, which runs it with no real validation beyond an Authenticode signature check broken by CVE-2020-4075 in electron-updater. From there, a configuration file belonging to a task-board app (PortableKanban) stores the Redis password encrypted with an obsolete algorithm and static, public keys — and Redis, in turn, stores the Administrator's password encrypted with the exact same broken scheme.

A Windows host with Redis exposed directly on port 6379 is unusual — Redis is almost always a Linux-side service in these environments — and it is the first hint that some third-party application bundles it as a backend, rather than it being a deliberate infrastructure deployment. Together with the "Heed Solutions" web app (a product name, not a generic company), it points at the real target not being the website itself, but a desktop application the website distributes.

In other words: if an "update" is dropped in a client folder, an automated process will install it with no further human intervention. This is the key that unlocks the whole chain — a writable share alone is worth nothing unless something on the other end is willing to run whatever gets dropped into it.

electron-updater (< 4.3.1) is vulnerable to CVE-2020-4075, a signature verification bypass publicly documented by Doyensec. Before running a downloaded installer, electron-updater on Windows shells out to PowerShell to check its Authenticode signature with Get-AuthenticodeSignature <path>, but builds that command by concatenating the downloaded file's name without sanitizing it. A file name containing a single quote breaks PowerShell's quoting and injects arbitrary code into that command — with the practical effect that the "signature check" never actually runs, and the installer executes regardless of whether it's signed or its signature is invalid.

Resumen ejecutivo — Atom es una máquina Windows que gira en torno a un canal de actualizaciones de software mal diseñado: un share SMB escribible como invitado permite entregar una "actualización" maliciosa a un proceso de QA automatizado, que la ejecuta sin más validación que una firma Authenticode rota por CVE-2020-4075 en electron-updater. Desde ahí, un fichero de configuración de una app de gestión de tareas (PortableKanban) guarda la contraseña de Redis cifrada con un algoritmo obsoleto y claves estáticas públicas — y Redis, a su vez, guarda la contraseña del Administrador cifrada con el mismo esquema roto.

Un host Windows con Redis expuesto directamente en el puerto 6379 es poco habitual — Redis es casi siempre un servicio de Linux en estos entornos — y es la primera señal de que alguna aplicación de terceros lo trae empotrado como backend, en vez de ser un despliegue de infraestructura deliberado. Junto con la web "Heed Solutions" (nombre de producto, no de empresa genérica), apunta a que el objetivo real no es la web en sí, sino una aplicación de escritorio que esa web distribuye.

Es decir: si se deja una "actualización" en una carpeta client, un proceso automatizado la instalará sin más intervención humana. Esta es la llave de toda la cadena — el share escribible por sí solo no vale nada si no hay, al otro lado, algo dispuesto a ejecutar lo que se deposite.

electron-updater (< 4.3.1) es vulnerable a CVE-2020-4075, una omisión de verificación de firma documentada públicamente por Doyensec. Antes de ejecutar un instalador descargado, electron-updater en Windows invoca PowerShell para comprobar su firma Authenticode con Get-AuthenticodeSignature <ruta>, pero construye ese comando concatenando el nombre del fichero descargado sin sanearlo. Un nombre de fichero con un apóstrofo rompe el quoting de PowerShell e inyecta código arbitrario en ese comando — con el efecto práctico de que la "verificación de firma" nunca llega a ejecutarse de verdad, y el instalador corre igualmente aunque no esté firmado o la firma sea inválida.