Los hackers están trabajando contrarreloj para desarrollar sus propias herramientas que les permitan atacar una vulnerabilidad de día cero en Internet Explorer. Esto está presionando a Microsoft para que lance, cuanto antes, un parche que resuelva el problema antes de que los ataques se disparen.
“Se trata, claramente, de una vulnerabilidad crítica y se está haciendo cada vez más peligrosa”, ha declarado Ben Greenbaum, responsable de investigación senior del equipo de respuestas de seguridad de Symantec, quien continúa explicando que “se trata de una carrera, realmente lo es”. Así es como describe el fenómeno que se está produciendo entre los hackers una vez conocida la vulnerabilidad.
En este punto coincide Wolfgang Kandek, responsable de seguridad de Qualys. “Definitivamente, estamos ante un tipo de carrera. Es una cuestión de si Microsoft puede solucionarlo antes de que los hackers desarrollen algo realmente peligroso”. De hecho, según Kandek, variantes del código de ataque original ya han aparecido en la Web. “De modo que los atacantes ya están trabajando en nuevas versiones del mismo”.
Greenbaum se hace eco de las palabras de Kandek, al afirmar que el fallo original era dudoso. “Según nuestras pruebas, el código publicado sólo funciona contra ciertas plataformas. Por ello,los hackers tendrán que trabajar en desarrollar una versión más fiable”. Así las cosas, la tarea que tienen por delante no va a ser fácil, pero sí puede realizarse sin demasiada dificultad, explica Greenbaum, quien ha descrito la creación de un ataque como un punto entre dos polos. “No será fácil, pero tampoco se trata del Santo Grial”.
Desde Microsoft han ofrecido diferentes modos para que los usuarios protejan sus PC hasta que un parche esté disponible. Entre estas soluciones se encuentra la posibilidad de poner en marcha la característica de seguridad DEP, (data execution prevention) en IE6 y en IE7, para impulsar las capacidades de seguridad del navegador. Esta posibilidad ha sido la más implantada por diferentes compañías de seguridad, como un modo de minimizar la posibilidad de sufrir ataques a partir de este fallo. Sin embargo, Kandek no cree que este tipo de medidas sean suficientes. “Estas mitigaciones son muy complicadas y no son muy viables para la mayor parte de los usuarios. Para los clientes, poner y quitar esto puede hacer que no les funcione el navegador”.
Otra opción, sugerida por Microsoft, es instalar IE8, que no contiene esta vulnerabilidad. Es una posibilidad que los usuarios deberían tener en cuenta y que, según Kandek, deberían poner en marcha, aunque es difícil cuando no imposible, que los trabajadores puedan cambiar el navegador de sus equipos empresariales. “Puedo pasarme a IE8 en casa, y los usuarios domésticos deberían hacerlo, pero los empleados no pueden hacerlo en sus equipos empresariales”.
Microsoft lanzará sus actualizaciones de seguridad habituales en dos semanas, concretamente, el 8 de diciembre, pero la mayoría de los investigadores de seguridad no creen que la compañía llegue a solucionar este problema para entonces. “No creo que eso ocurra. IE es una pieza de software crítica y Microsoft querrá probar el parche de manera exhaustiva antes de hacerlo público”, ha declarado Kandek.
Históricamente, Microsoft tarda alrededor de un mes o más tiempo en lanzar un parche para una vulnerabilidad conocida de IE. En raras ocasiones ha lanzado una actualización fuera de fecha, es decir, fuera del segundo martes de cada mes. Además, a día de hoy, desde la compañía afirman no haber tenido evidencias de ataques que utilicen el código publicado, algo que desde Symantec también confirman. Aunque Greenbaum también matiza que “no hay duda de que se están produciendo movimientos en este sentido y los atacantes están probando las aguas para ver cómo funcionan sus respectivas agresiones”.
Resumen del año 2009 en TI Con 2009 llegando a su fin, es hora de hacer balance de cuáles han sido las principales noticias de tecnología. Los anuncios de Windows 7 por parte de Microsoft en materia de software o la llegada del iPhone 3G S de Apple en el terreno del hardware son algunas de ellas. Pero hay muchas más. [22/12/2009 ] - 98 votos
Nokia N900 con Maemo: primeras impresiones Se trata del primer modelo que corre sobre sistema operativo Maemo 5, basado en Linux, frente a lo habitual de la serie N que hasta ahora estaban basados en Symbian. Dispone de pantalla táctil de 3,5 pulgadas y resolución de 800 x 480 píxeles, cámara de 5 megapíxeles y navegador con soporte de Flash para la visualización de contenidos Web. Destaca la gestión que realiza de las aplicaciones en modo multitarea. [18/12/2009 ] - 86 votos
Google presenta Nexus One, su móvil Android El esperado teléfono móvil Android de Google con marca propia (aunque fabricado por HTC) ya está oficialmente presentado y disponible en Estados Unidos. En Europa deberemos esperar algún tiempo (aún por determinar) y Vodafone será el operador de referencia. He aquí las primeras imágenes del esperado Nexus One. [07/01/2010 ] - 64 votos
A pesar de que ya se han cumplido más de dos meses desde el lanzamiento oficial de Intel, a diferencia de otras ocasiones, la oferta de equipos y configuraciones que existe en el mercado sigue siendo sumamente ... [noticia completa]
Casi todos los trabajadores han actualizado su perfil en Facebook, han enviado un mensaje de correo electrónico de carácter personal, han visto un vídeo en YouTube o han hablado por teléfono con un amigo en horas de trabajo. Pero cada vez más empresas utilizan la tecnología para controlar a qué se dedican sus empleados en horas ... [noticia completa]
Por si aún no tenía motivos suficientes como para tener cuidado sobre qué comparte y qué no en Facebook, he aquí un alegato más: los servicios secretos como el FBI pueden estar muy atentos a toda su actividad en las redes ... [noticia completa]
Puede que no haya oído hablar de Alex, pero seguro que no ha escapado al fenómeno iPad. Alex es un nuevo e-reader basado en Android que llegará al mercado en breve para luchar contra la propuesta de ... [noticia completa]
Los ingresos mundiales de aplicaciones móviles, incluyendo las descargas pagadas y la publicidad móvil, podrían aumentar de 4.100 millones dólares el año pasado a 17.500 millones en 2012, de acuerdo con un estudio encargado por ... [noticia completa]
Google ha creado un instrumento gratis para simplificar y automatizar la migración del correo electrónico, el calendario y los datos de contacto de Microsoft Exchange a Google ... [noticia completa]
Cisco ha presentado esta mañana en Madrid una serie de dispositivos y servicios destinados a complementar la estrategia Borderless Network, o Redes sin Fronteras, presentada a finales del pasado ... [noticia completa]
Foursquare y otras aplicaciones basadas en la localización plantean una gran idea para la ubicación de anuncios, pero su comercialización puede ser un desafío. La clave está en hacerlos poco invasivos, sacarles la máxima utilidad pero evitar la pesadilla de un mundo totalmente envuelto en la ... [noticia completa]
El director general de Oracle Ibérica, Félix del Barrio, ha dado a conocer a sus clientes de qué manera les va a beneficiar la integración de su compañía con Sun, una operación que busca “transformar la industria de TI”, según ha destacado Jim Decker, vicepresidente de ventas de ... [noticia completa]
Versión impresora
Votar esta noticia (35 votos)
