Nuevo ataque (sin parche) contra Internet Explorer 6 y 7.

(Por El Microsaurio) Primero llegó (el viernes por la noche) un lacónico email de un laboratorio de seguridad informática israelí, firmado por K4mr4n_st. Lo único que contenía ese mensaje era el código que se debe pegar en una página web de un servidor, para colgar el Internet Explorer de un incauto visitante. Según parece, también se puede modificar para descargar en la compu del pobre usuario algún otro malware que cause más daño que un simple cuelgue. Crucen los dedos o pásense al IE8 – o a Firefox, si pueden

El primer análisis de este material que vimos en la web es de un empleado del equipo de análisis de seguridad de Symantec (la empresa lo llama así, “empleado de Symantec”, pobre) que confirmó el sábado 21 lo temido: el material publicado era efectivo, aunque “un poco inestable” y produce un cuelgue en Internet Explorer 6 y 7. El punto de ataque, cómo no, es una falla de programación en la forma en que estos navegadores “abren” páginas web con CSS y JavaScript.

Para el domingo 22 el laboratorio francés Vupen (el sucesor comercial del France SIRT) avisó que la falla estaba en un componente del Internet Explorer llamado Microsoft HTML Viewer y que dentro de los equipos figura como “mshtml.dll”. Recomendaron, también, deshabilitar JavaScript hasta que Microsoft publicara un parche. Aseguran que probaron el código en máquinas con Windows XP con Service Pack 3 y todas las actualizaciones, corriendo Internet Explorer 6 y 7, y que funciona según lo previsto (atacando a la máquina).

La redacción de los comunicados de Symantec y de Vupen es ligeramente ambigua, en lo que respecta a IE 8. Las frases son “…afecta también a Internet Explorer 6 y 7…” pero el número 8 no aparece por ninguna parte.

Incluso en el Internet Storm Center del prestigioso Instituto SANS el link dice “IE7 and IE8 0-Day Reported” pero cuando vas a la página aparece como título “IE6 and IE7 0-Day Reported”

Ah, para que te pongas más tranquilo: “0-Day”, donde lo de adelante es un cero, no una “o” mayúscula, es una expresión que se emplea para denominar a la publicación de un código de ataque que se hace sin que la empresa productora del software afectado haya publicado un parche. Por lo tanto, K4mr4n_st decidió ponernos a todos en riesgo, tal vez porque avisó a Microsoft y de allá le contestaron “no, flaco, eso no es un problema grave…”. Y el quía decidió demostrar que sí era un problema serio, de la peor manera.

Como te podrás imaginar, este código ya ha sido copiado por unos miles de programadores “curiosos” de todo el mundo, que a esta hora estarán estudiando cómo adaptarlo a sus malvadas intenciones. Espero que no se te atragante el café. Sobre todo a vos, querido administrador de sistemas de la gran empresa, donde todavía no migraron a Internet Explorer 8 y no podés instalar Firefox porque las aplicaciones de uso bancario no te funcionan adecuadamente. Paciencia.