Un ricercatore di
sicurezza ha scoperto una minaccia per gli utenti di Internet Explorer, si
chiama cookiejacking e consiste in una vulnerabilità che permette a chi la
sfrutta di ottenere le informazioni contenute nei cookie.
Rosario Valotta,
questo il nome del ricercatore, afferma che la falla è presente in tutte le
versioni di Internet Explorer e permette di rubare le informazioni di qualsiasi
cookie.
Per la dimostrazione Valotta
ha sottratto le credenziali di accesso a Facebook, Gmail e Twitter.
L’attacco sfrutta una
vulnerabilità nella sicurezza di IE che permette agli utenti di dividere i siti
web affidabili da quelli a cui non vogliamo mai accedere. Integrando un tag
iframe speciale in un sito web “maligno”, un utente malintenzionato può
aggirare questa interazione e superare il blocco del browser e vedere i cookie
memorizzati sul computer della vittima.
L’exploit richiede
che l’attaccante esegua una serie di compiti molto tecnici, anche sapendo dove,
su un disco rigido, sono i cookies memorizzati e conoscendo nome utente di
Windows della vittima.
Valotta negli exploit
incorpora tecniche messe a punto dai ricercatori tra cui Jorge Medina che
manipola la funzionalità di condivisione di file integrato in IE per
trasmettere il nome utente di Windows in formato testo. Prende in prestito
anche una forma avanzata di clickjacking, noto come il drag and drop dei
contenuti, come dimostrato l’anno scorso da Paul Stone.
Valotta ha spiegato: “È
complicato per l’attaccante eseguire tutto il procedimento, ma per la vittima è
impossibile vedere quello che succede a sua insaputa”.
A causa di questa
complessità, Microsoft non è, particolarmente, preoccupata:
Il portavoce di
Microsoft, Pete Voss, ha rilasciato una dichiarazione:
“Siamo consapevoli del problema che può condurre al furto di cookie di
un utente se questi viene convinto a visitare un sito pericoloso e, una volta lì,
ulteriormente convinto a cliccare e spostare oggetti sulla pagina. Dato il
livello d’interazione richiesto, non lo consideriamo un problema ad alto
rischio”.
Valotta ha informato
Microsoft della propria scoperta in gennaio. L’azienda conta di risolvere il
problema rilasciando una patch per la vulnerabilità in una serie di
aggiornamenti, indicativamente, prevista per giugno e agosto.
Comunque, nell’attesa è sempre valida la raccomandazione che invita a non
cliccare su link sospetti, o a non usare Internet Explorer.
