Nueva vulnerabilidad grave en Internet Explorer 8

En un caso similar al que ya vimos a finales del año pasado y principios de este, Microsoft ha confirmado la existencia de un nuevo agujero de seguridad en su navegador Internet Explorer 8. Esta vulnerabilidad ha estado utilizándose en los últimos días para propagar malware desde webs legítimas, pertenecientes a grandes empresas con intereses en la industria aeroespacial, defensa y seguridad, pasando por organizaciones no gubernamentales e incluso llegando a organismos oficiales del Gobierno de los Estados Unidos.

Las sospechas de la existencia de esta vulnerabilidad aparecieron cuando se descubrió, el pasado 1 de mayo, que la web del Departamento de Trabajo de los Estados Unidos estaba distribuyendo malware a todos los visitantes de uno de sus subdominios. Si hacemos un poco de memoria recordaremos que ocurrió un caso muy similar a principios de año y que afectó a la web del Council of Foreign Relations.

En un principio se llegó a pensar que se trataba de la misma vulnerabilidad vista en meses anteriores, pero, tras varios análisis, se descubrió que se trataba de un nuevo agujero de seguridad en Internet Explorer 8 instalado en Windows XP, Vista, 7 y 8. Las muestras analizadas en este ataque se encontrarían distribuyendo la herramienta maliciosa Poison Ivy, malware usado por ciberdelincuentes para, entre otras funcionalidades, robar información confidencial de redes corporativas y gubernamentales.

El problema ahora no es tanto el ataque inicial en el que se vieron comprometidas algunas webs importantes, sino la publicación de la vulnerabilidad usada y su consecuente exploit. Una vez desvelada la técnica usada para realizar este ataque, se ha tardado poco tiempo en incorporar esta nuevo agujero de seguridad a herramientas como Metasploit, de forma que queda automáticamente a disposición del público en general.

De momento, Microsoft no se ha pronunciado acerca de si lanzará un parche de seguridad que solucione esta vulnerabilidad, ya sea el próximo martes (dentro de su ciclo de actualizaciones mensuales) o como actualización fuera de ciclo. Mientras tanto, los usuarios que aún se encuentren utilizando Internet Explorer 8 pueden optar por actualizar a una versión más reciente (IE9 e IE10 no se ven afectados) o descargar la herramienta Enhaced Mitigation Experience Toolkit de Microsoft para minimizar los daños.

Son ya dos los casos similares en lo que llevamos de año que tienen como protagonistas a webs legítimas de cierta importancia y al navegador Internet Explorer. Esto nos debería bastar para concienciarnos de la importancia de mantener nuestro sistema y aplicaciones actualizadas y dejar de confiar ciegamente en páginas con una elevada reputación, puesto que podemos encontrar malware en cualquiera de ellas.

Josep Albors