Un nuevo ataque explota un agujero desprotegido en Internet Explorer (IE)
Recién lanzado el último boletín de seguridad mensual de Microsoft para 2008, los atacantes han comenzado a explotar un nuevo fallo en el navegador de la compañía, Internet Explorer (IE). La solución a esta brecha, revelada sólo unos días antes de la emisión del boletín, no ha sido incluida en la última actualización del fabricante.
La vulnerabilidad fue hecha pública en varios foros de discusión chinos hace unos días por un grupo de seguridad denominado el equipo Knownsec. En las pruebas realizadas por este grupo, afectaba a IE 7 cuando corría sobre Windows XP y Service Pack 2.
La brecha en cuestión está ya siendo aprovechada por atacantes que han hospedado el código de explotación en sitios Web hackeados para asaltar a sus visitantes, según ha explicado Wayne Huang, CEO del suministrador de seguridad Armorize Technologies. Y, ahora que el fallo ha sido revelado públicamente, Huang espera que los ataques empiecen a extenderse.
El código malware JavaScript utilizado por los atacantes explota un fallo en la forma que IE maneja el lenguaje XML y funciona sobre el browser “alrededor de una cada tres veces”, según Huang. Para tener éxito, la víctima debe visitar antes un sitio Web manipulado para servir el código malware.
De ser así, descargará después un programa malicioso sobre el PC de la víctima, el cual descargará a continuación malware de varias localizaciones.
Microsoft ha confirmado la existencia de la vulnerabilidad y asegura estar trabajando en su resolución.
