ProtegeTuOrdenador.com

Los expertos en seguridad han derribado las últimas protecciones contra vulnerabilidades incorporadas en las últimas versiones de Internet Explorer, demostrando que es posible crear agujeros en una red que se supone a salvo de exploits “drive-by”.

Explotando debilidades en Flash Player de Adobe, los expertos han ideado dos ataques separados para evitar las medidas de Internet Explorer 7 y 8. Conocidas como ASLR ( Address Space Layout Randomization) y DEP (Data Execution Prevent), estas tecnologías están designadas para disminuir la severidad de los fallos, haciendo que sea más difícil la ejecución de código malicioso.

Ambas técnicas usan la compilación “Just In Time”, que llena la memoria del ordenador con largos trozos de código con el mismo shellcode. La técnica “JIT-spray” permite a los atacantes evitar ASLR, que normalmente escoge una dirección de memoria diferente para cargar los componentes del sistema cada vez que el sistema operativo arranca.

“Con esta técnica, que funciona de forma bastante fiable, al menos 9 de cada 10 veces fuimos capaces de adivinar la posición correcta. Los compiladores realizan esta labor óptimamente, así que era un hecho que esto debía ser posible”, afirma Dionysus Blazakis, uno de los expertos que expuso uno de los ataques en la conferencia Black Hat que se celebra en Washington.

Los ataques son más que un ejercicio académico porque ASLR y DEP eran las únicas defensas que prevenían la ejecución de exploits que usan desbordamientos de buffer y otros fallos en las aplicaciones que corren en los ordenadores Windows. Sin ir más lejos, el mes pasado se produjo un ataque contra la aplicación Adobe Reader que no funcionó en IE8 gracias a las protecciones mencionadas.

La mayor parte de los usuarios de banca electrónica reusan sus credenciales para acceder a servicios no financieros y, mucho menos, seguros. Trusteer afirma que el 73% de los usuarios de banca usan su contraseña de acceso para acceder a otras webs, y el 47% usan sus identificadores bancarios (ID y contraseña) en cualquier sitio de Internet.

Estos datos están basados en una base de 4 millones de usuarios que usan el plugin de seguridad para navegadores Rapport, la mayoría de los cuales son clientes de bancos americanos y europeos.

Esta reutilización de contraseñas está siendo explotada por los cibercriminales, que las extraen desde servicios poco o nada seguros, como el correo electrónico y las redes sociales. Una vez obtenidas, las prueban en los servicios financieros para robar dinero al usuario.

El informe también señala:

• El 73% de los usuarios comparte sus contraseñas banarias con al menos una web no financiera.

• El 47% de los usuarios utilizan tanto su ID como su contraseña en al menos una web no financiera.

• Cuando un banco permite que el usuario escoja su propio ID, el 65% de los usuarios lo usa en sitios no financieros.

• Cuando un banco escoge el usuario para sus clientes, el 42% de los mismos lo usa en al menos un sitio web no financiero.

“Usar las credenciales robadas es la forma más fácil para los cibercriminales de evitar las medidas de seguridad implementadas por los bancos para proteger sus aplicaciones, así que queremos hacer ver a los usuarios la necesidad de replantear el uso de sus credenciales financieras en otros sitios”, afirma Amit Klein, CTO de Trusteer y cabeza visible de la organización. “Lo que hemos encontrado nos ha sorprendido, y revela que los usuarios no están preocupados,o han escogido ignorar, las implicaciones de seguridad de reusar sus credenciales bancarias en múltiples sitios web”.