2 marzo, 2010
Microsoft advirtió que está investigando un agujero sin solucionar en VBScript que podría ser utilizado por los hackers para tomar el control de viejos sistemas de Windows que estén ejecutando Internet Explorer 7 y 8.
La vulnerabilidad afecta a sistemas basados en Windows 2000, XP y Server 2003 y se aprovecha de la manera en que Visual Basic Scripting, o VBScript, interactúa con los archivos de ayuda de Windows.
De acuerdo a Jerry Bryant, director del Microsoft Security Response Center (MSRC), el error no afecta a Windows Vista, Windows 7, Windows Server 2008 ni Windows Server 2008 R2, y todavía no se tiene constancia de ningún ataque real aprovechándose de esta vulnerabilidad.
Para que se produzca el ataque, las probables víctimas deben visitar una página web que muestre una ventana especialmente diseñada, que podría llevar a los usuarios a presionar la tecla F1. Al presionar la tecla, que se utiliza para abrir la función de ayuda, se instalaría malware en el sistema del visitante, explicó Microsoft.
Se trata de un código maligno disfrazado de archivo de ayuda (con extensión .hlp) y como sería necesario convencer al usuario para que presione F1 cuando aparece la ventana emergente, Maurycy Prodeus, analista del iSEC Security Research, y descubridor de esta vulnerabilidad, considera que el riesgo del fallo es medio.
“En primer lugar, el atacante necesita forzar a la víctima para que visite una página web maligna. El usuario debe utilizar Windows XP y Explorer mientras acude a esta web. Y se necesita un poco de ingeniería social para persuadir a la víctima para que pulse F1 cuando se muestre una ventana VBScript”, señaló el experto.
Por otro lado, Bryant aclaró que los archivos Windows Help “están incluidos en una larga lista de lo que nosotros denominamos como tipos de archivos no seguros”.
Este tipo de archivos está diseñado para invocar acciones automáticas durante el uso normal de los archivos. “Aunque pueden ser herramientas de productividad muy valiosas, también pueden ser utilizados por los atacantes para comprometer un sistema”.
