Linkedin estuvo en riesgo de sufrir un ataque de spear-phishing

Expertos de Kaspersky Lab descubrieron dos pequeñas vulnerabilidades que abrían la puerta a posibles ataques de phishing. Linkedin ya publicó la reparación de estos fallos.

Es de sobra conocido que los ciberdelincuentes buscan cualquier resquicio para tratar de sacar provecho y las redes sociales se han convertido en uno de los objetivos prioritarios de los ciberpiratas.  Facebook y Twitter, por ejemplo, ya han sufrido ataques de este tipo. Linkedin, que cuenta con perfiles de millones de trabajadores y empresarios, también es un objetivo para este tipo de malhechores. De hecho, a finales del pasado año, los expertos de Kaspersky Lab alertaron a los responsables de Linkedin, la mayor red social profesional, de un agujero de seguridad que ponía en riesgo a sus 360 millones de usuarios ya que abría la posibilidad de lanzar una campaña de spear-phishing, robar credenciales y controlar a las víctimas a distancia. 

Los investigadores notaron que existían diferencias cuando publicaban un mensaje desde diferentes publicaciones. La segunda alerta saltó cuando notaron un pequeño fallo en el analizador sintáctico secundario que interpretaba cada intro como una etiqueta HTML y la añadía al texto. Pese a que puedan parecer detalles nimios, los ciberdelincuentes están atentos a estos pequeños problemas. Por suerte, en esta ocasión nadie detectó nada salvo los expertos de Kaspersky que decidieron investigar en profundidad lo que podían significar estas cuestiones.

En un primer intento, el envío de múltiples publicaciones desde un navegador web permitió imitar el comportamiento parcial de las diferencias en el escaping pero sin dar ninguna pista sobre cómo saltarse el motor anti-XSS que podía permitir generar un ataque. De igual manera, el envío de comentarios con etiquetas HTML desde una web generaba un código distinto que el mismo envío desde un dispositivo móvil. Al inspeccionarlo de nuevo se descubrió la presencia de dos plataformas distintas. Además, cada comentario se envío por correo a los usuarios que participan en ese foro de discusión y las diferencias en los cuerpos de mail confirmaron las sospechosas de los investigadores de Kaspersky, probando la existencia de dos plataformas de correo y  que las notificaciones desde dispositivos móviles podían llevar cargas maliciosas sin necesidad de validar las credenciales de los usuarios.

Gracias a ello, los ciberdelincuentes, que invierten mucho tiempo en buscar resquicios por los que atacar, pueden encontrar formas astutas de acercarse a los usuarios y elegir una víctima potencial que queda a un comentario de distancia. Insertar un comentario malicioso en el hilo de comentarios de una publicación enviará automáticamente una notificación al correo del usuario dueño de la publicación, cualquiera que sea su proveedor de correo o la jerarquía de conexión entre la víctima y el hacker. Y así, se abren diversas maneras de que un cibervándalo pueda atacar al usuario y hacerse con su información.

Tras recibir el aviso por parte de Kaspersky Lab, Linkedin se comprometió a buscar una solución. “Aunque deben restringirse algunos contenidos HTML, ya hemos publicado una reparación y hemos agradecido a los expertos de Kaspersky por su colaboración; resulta improbable ejecutar un exploit en las modernas plataformas de correo electrónico”, ha señalado David Cintz, gerente senior de programas técnicos del ecosistema de seguridad de Linkedin.