Es posible que hayas dejado de usar Internet Explorer como navegador web principal hace mucho tiempo y prefieras Chrome o el más moderno Edge de la propia Microsoft. Pero aunque haya quedado arrinconado en el disco duro del ordenador, Explorer puede hacer aún mucho daño.
Según un informe del analista de seguridad John Page, Internet Explorer tiene una vulnerabilidad no “parcheada” que permite a un atacante acceder a cualquier archivo del ordenador tan sólo engañando al usuario para que pulse en un enlace.
El problema está en los archivos conocidos como MHT, un formato que Internet Explorer utiliza para guardar páginas web en el ordenador de forma que sea posible consultarlas localmente, sin necesidad de tener conexión a Internet.
Dado que este este tipo de archivos tiene privilegios dentro del sistema y que por defecto se abren con Internet Explorer, es posible para un atacante inyectar código que se ejecute nada más cargar el archivo en pantalla.
Para la víctima, basta con pulsar dos veces sobre un archivo de aspecto inocente que haya recibido por correo electrónico o mensajería instantánea. Aunque Internet Explorer tiene varias herramientas destinadas a evitar ataques a la hora de navegar por la red, muchos de los avisos y diálogos de confirmación se obvian con este tipo de archivos, por considerar que son una copia guardada en local y previamente comprobada.
El ataque funciona en Windows 7, Windows 10 y la versión más reciente de Windows Server 2012. Microsoft ha dicho que lanzará un parche en el futuro que corregirá este vector de ataque pero hasta que lo haga, es necesario tener extrema precaución con este tipo de archivos.
Fallo de seguridad en correos de Outlook, Hotmail y MSN
No está siendo una buena semana para Microsoft. Al estudio de la vunerabilidad publicado por Page se une un fallo de seguridad en las herramientas de administración para soporte técnico de Microsoft ha permitido a un grupo de hackers tener durante meses acceso a las cuentas de los usuarios de direcciones de correo electrónico en los servicios Outlook, Hotmail y MSN.
Los atacantes, según ha reconocido la propia Microsoft, pudieron acceder la información relacionada con las cuentas de usuario y los encabezados de los correos electrónicos utilizando las credenciales de un administrador de soporte técnico.
“Hemos identificado las credenciales afectadas que permitieron a individuos ajenos a la compañía el acceso a la información en tu cuenta de Microsoft”, explica la compañía en un correo enviado este pasado fin de semana a todos los usuarios afectados.
En ese correo, Microsoft asegura que los atacantes no tuvieron en ningún momento acceso la información que contenían los correos y los archivos adjuntos, tan sólo a los encabezados, la agenda y otra información de carácter personal.
Pero una fuente relacionada con el caso ha demostrado a la publicación Motherboard que la vulnerabilidad también permitía a los atacantes leer el cuerpo de los mensajes de correo electrónico, no sólo los encabezados.
Microsoft ha rectificado su explicación inicial explicando que los atacantes sólo accedieron al contenido del 6% de las cuentas afectadas, pero sin especificar el número concreto.
