Vulnerabilidad de IE rastrea los movimientos de tu cursor

Se ha descubierto una vulnerabilidad en Internet Explorer que permite que los intrusos sigan los movimientos del cursor sin necesidad de usar herramientas complejas o grandes recursos.

La vulnerabilidad afecta a todas las versiones posteriores de IE 6.0 y todavía no se ha planeado el lanzamiento de un parche que la solucione. Desarrollar el parche será complejo porque la solución involucra a millones de espacios publicitarios en sitios web que se utilizan para lanzar estos ataques.

Es más, la empresa de análisis Spider.io, que descubrió la vulnerabilidad, avisó a Microsoft sobre el problema en octubre, pero decidió hacerla pública al ver que no había planes inmediatos para solucionarla a pesar de que ya se la está explotando. “Es importante que los usuarios de IE estén conscientes de esta vulnerabilidad y sus implicaciones”, dijo un portavoz de la empresa.

La vulnerabilidad permite que el JavaScript en cualquier página obtenga la posición del cursor mediante fireEvent () porque IE “llena el objeto global Event con atributos relacionados a los eventos del cursor, hasta en situaciones en las que no debería”.

Por lo tanto, los atacantes no necesitan engañar a los usuarios con ingeniería social ni utilizar herramientas sofisticadas para realizar el ataque; es suficiente con comprar un espacio en cualquier sitio web que visite su víctima, explicaron los analistas de Spider.io. “Y esto no se limita a sitios de pornografía barata o páginas para compartir archivos”, aclararon. “Cualquier sitio, desde YouTube hasta The New York Times, es un posible vector de ataques”.

“Mientras la página con el anuncio publicitario malicioso se mantenga abierta –aunque se la pase a un segundo plano en otra etiqueta o se minimice la ventana de Internet Explorer- , se podrá rastrear el cursor de tu ratón”, explicaron.

Spider.io cree que este problema puede tener alcances peligrosos. Los atacantes pueden explotar esta falla para, por ejemplo, leer las contraseñas que escriben los usuarios desde teclados virtuales en los sitios que requieren mayor protección, como los sitios de bancos en línea.

Fuentes:

Microsoft ‘acknowledges’ Internet Explorer security flaw allowing tracking of mouse movements Digital Trends

Internet Explorer tracks cursor even when minimised The Register

IE mouse-tracking flaw allows anyone to steal passwords PC Pro