Microsoft elimina una vulnerabilidad de Internet Explorer

Trabajar con versiones antiguas de navegadores web es arriesgado. Existen versiones que presentan fallos de seguridad que ni siquiera el fabricante conoce. Este es el caso de Internet Explorer. Hace dos semanas se descubría una vulnerabilidad de tipo ataque de día cero (zero-day) en Internet Explorer 6, 7 y 8. Ese fallo permite que el navegador pueda revelar la información almacenada en el equipo. Basta con visitar un sitio web infectado para que la computadora se contagie con un Malware de tipo exploit que facilita la ejecución remota de códigos utilizando los privilegios del usuario. Si el usuario está conectado como administrador, el atacante puede hacerse con el control total. Los daños son menores si se trabaja con una cuenta de usuario sin privilegios, que es lo más recomendable.

Esta vulnerabilidad fue inicialmente detectada en la página web del Council on Foreign Relations, una organización especializada en política exterior, el pasado jueves día 27 de diciembre. Los analistas de Sophos afirman que el sitio estaba infectado desde el día 7 de diciembre, y añaden que han encontrado otros cinco sitios web con el mismo malware. Poco después Microsoft confirmaba la existencia de esa vulnerabilidad que permite la ejecución de códigos a distancia y especificaba que las últimas versiones (Internet Explorer 10 e IE 9) no están afectadas. En el aviso de seguridad, la compañía explica que está relacionado con la forma en que Internet Explorer accede a un objeto en memoria que ha sido borrado o no ha sido localizado correctamente; y añade que “la vulnerabilidad puede corromper la memoria de tal modo que puede permitir a un atacante ejecutar códigos arbitrariamente en el contexto del usuario actual con Internet Explorer”. Además, el atacante puede crear un sitio web especialmente diseñado para explotar esta vulnerabilidad y convencer al usuario de que visite ese sitio, por ejemplo, enviándole un mensaje de correo electrónico.

Hasta que llegue una actualización de seguridad, Microsoft ha decidido lanzar una solución provisional para esta vulnerabilidad que afecta a Internet Explorer 8, 7 y 6. Este parche temporal sólo es apto para usuarios profesionales avanzados y se activa y desactiva manualmente. Para los usuarios comunes, los expertos en seguridad recomiendan actualizar el navegador de Microsoft a versiones más modernas como IE 10 o IE 9. En el caso de que eso no sea posible, aconsejan emplear otro navegador provisionalmente hasta que el fabricante lance el parche permanente de seguridad que arregle el problema.

Los analistas de seguridad sostienen que es un ataque sofisticado que excede los recursos y las habilidades de la inmensa mayoría de los hackers, e incluso apuntan que podría ser una operación financiada por algún gobierno. Parece que, por ahora, la infección está concentrada en sitios web radicados en Norteamérica. En Symantec lo describen como un ataque de abrevadero (watering hole), dirigido a víctimas muy concretas que son atraídas al sitio web infectado con el objeto de robar los datos de sus computadoras. Por su parte, los especialistas de Sophos no están de acuerdo con esa descripción, pero sí ven similitudes con un reciente ataque a los visitantes de la página de ofertas de empleo de la cadena hotelera del pasado mes de junio.