Microsoft arregla la última vulnerabilidad de Internet Explorer

Utilizar versiones antiguas de navegadores web es arriesgado. A menudo esas versiones presentan fallos de seguridad que ni siquiera el fabricante conoce. Es lo que acaba de pasar con Internet Explorer. A finales de la semana pasada se descubrí­a una vulnerabilidad de tipo ataque de dí­a cero (zero-day) en Internet Explorer 6, 7 y 8. Ese fallo permite que el navegador pueda revelar la información almacenada en el equipo. Basta con visitar un sitio web infectado para que el ordenador se contagie con un malware de tipo exploit que facilita la ejecución remota de códigos utilizando los privilegios del usuario. Si el usuario está conectado como administrador, el atacante puede hacerse con el control total. Los daños son menores si se trabaja con una cuenta de usuario sin privilegios, que es lo más recomendable.

Esta vulnerabilidad fue inicialmente detectada en la página web del Council on Foreign Relations, una organización especializada en polí­tica exterior, el pasado jueves dí­a 27 por FireEye. Los analistas de Sophos afirman que el sitio estaba infectado desde el dí­a 7 de diciembre, y añaden que han encontrado otros cinco sitios web con el mismo malware. Poco después Microsoft confirmaba la existencia de esa vulnerabilidad que permite la ejecución de códigos a distancia y especificaba que las últimas versiones (Internet Explorer 10 e IE 9) no están afectadas. En el aviso de seguridad, la compañí­a explica que está relacionado con la forma en que Internet Explorer accede a un objeto en memoria que ha sido borrado o no ha sido localizado correctamente; y añade que “la vulnerabilidad puede corromper la memoria de tal modo que puede permitir a un atacante ejecutar códigos arbitrariamente en el contexto del usuario actual con Internet Explorer”. Además, el atacante puede crear un sitio web especialmente diseñado para explotar esta vulnerabilidad y convencer al usuario de que visite ese sitio, por ejemplo, enviándole un mensaje de correo electrónico.

Hasta que llegue una actualización de seguridad, Microsoft ha decidido lanzar una solución provisional para esta vulnerabilidad que afecta a Internet Explorer 8, 7 y 6. Este parche temporal sólo es apto para usuarios profesionales avanzados y se activa y desactiva manualmente. Ese “Fix It” está disponible aquí­. De todos modos, para los usuarios comunes, los expertos en seguridad recomiendan actualizar el navegador de Microsoft a versiones más modernas como IE 10 o IE 9. En el caso de que eso no sea posible, aconsejan emplear otro navegador provisionalmente hasta que el fabricante lance el parche permanente de seguridad que arregle el problema.

Los analistas de seguridad sostienen que es un ataque sofisticado que excede los recursos y las habilidades de la inmensa mayorí­a de los hackers, e incluso apuntan que podrí­a ser una operación financiada por algún gobierno. Parece que, por ahora, la infección está concentrada en sitios web radicados en Norteamérica. En Symantec lo describen como un ataque de abrevadero (watering hole), dirigido a ví­ctimas muy concretas que son atraí­das al sitio web infectado con el objeto de robar los datos de sus ordenadores. Por su parte, los especialistas de Sophos no está de acuerdo con esa descripción, pero sí­ ven similitudes con un reciente ataque a los visitantes de la página de ofertas de empleo de la cadena hotelera del pasado mes de junio.