Gráfico para ilustración

Investigadores de seguridad cibernética revelaron el martes detalles sobre una vulnerabilidad de suplantación de la barra de direcciones que afecta a múltiples navegadores móviles, como Apple Safari y Opera Touch, dejando la puerta abierta para ataques de phishing y distribución de malware.

Otros navegadores afectados incluyen UCWeb, Yandex Browser, Bolt Browser y RITS Browser.

Las fallas fueron descubiertas por el investigador de seguridad paquistaní Rafay Baloch en el verano de 2020 y Baloch y la firma de seguridad cibernética Rapid7 las informaron conjuntamente en agosto antes de que los fabricantes de navegadores las abordaran en las últimas semanas.

UCWeb y Bolt Browser aún no tienen parches, mientras que se espera que Opera Mini reciba una solución el 11 de noviembre de 2020.

El problema surge del uso de un código JavaScript ejecutable malicioso en un sitio web arbitrario para obligar al navegador a actualizar la barra de direcciones mientras la página aún se está cargando en otra dirección elegida por el atacante.

Demostración PoC original

«La vulnerabilidad ocurre debido a que Safari conserva la barra de direcciones de la URL cuando se solicita a través de un puerto arbitrario, la función de intervalo establecido vuelve a cargar bing.com:8080 cada 2 milisegundos y, por lo tanto, el usuario no puede reconocer la redirección de la URL original a la URL falsificada. Rafay Baloch dijo en el análisis técnico.

«Lo que hace que esta vulnerabilidad sea más efectiva en Safari por defecto no revela el número de puerto en la URL a menos que y hasta que el foco se establezca mediante el cursor».

Dicho de otra manera; un atacante puede configurar un sitio web malicioso y atraer al objetivo para que abra el enlace de un correo electrónico o mensaje de texto falsificado, lo que lleva a un destinatario desprevenido a descargar malware o corre el riesgo de que le roben sus credenciales.

La investigación también encontró que la versión macOS de Safari es vulnerable al mismo error, que según Rapid7 se solucionó en una actualización de Big Sur macOS lanzada la semana pasada.

Esta no es la primera vez que se detecta una vulnerabilidad de este tipo en Safari. En 2018, Baloch reveló un tipo similar de falla de suplantación de la barra de direcciones que hizo que el navegador conservara la barra de direcciones y cargara el contenido de la página falsificada a través de un retraso de tiempo inducido por JavaScript.

«Con la sofisticación cada vez mayor de los ataques de phishing selectivo, la explotación de las vulnerabilidades basadas en el navegador, como la falsificación de la barra de direcciones, puede exacerbar el éxito de los ataques de phishing selectivo y, por lo tanto, resultar muy letal», dijo Baloch.

«En primer lugar, es fácil persuadir a la víctima para que robe credenciales o distribuya malware cuando la barra de direcciones apunta a un sitio web confiable y no da indicadores de falsificación, en segundo lugar, dado que la vulnerabilidad explota una función específica en un navegador, puede evadir varios anti -esquemas y soluciones de phishing».