Una vulnerabilidad en Word que comprometió a miles de usuarios
¿Recuerdas ese documento malicioso que aprovechaba una vulnerabilidad en Word para descargar malware sin dejar rastro? La buena noticia es que Microsoft publicó su parche el pasado 11 de abril, y se recomienda su instalación con extrema urgencia. La mala es que el fallo fue descubierto en julio de 2016 y, durante los siguientes nueve meses, se utilizó para llevar a cabo ataques en Rusia, Ucrania, Australia e Israel.
La designación oficial es CVE-2017-0199. Desde un punto de vista técnico, ya está corregida, y quienes usen los builds más recientes de Office (a partir de la edición 2007 SP3) deberían estar protegidos. Sin embargo, muchos usuarios y administradores retrasan la aplicación de los hotfixes por diversas razones, como entornos corporativos estrictos o copias ilegales con activadores que se neutralizan a través de Windows Update. Los bugs no discriminan, y lo que en otras circunstancias habría sido un parche rutinario se convirtió en una odisea de nueve meses.
Cómo se descubrió el 0-day
La historia nos lleva a julio de 2016, cuando el consultor Ryan Hanson descubrió el 0-day. Durante los siguientes tres meses trabajó sobre el fallo para evaluar su gravedad y su potencial de combinación con otras vulnerabilidades, antes de reportarlo a Microsoft. Al ver los resultados, en Redmond llegaron a la conclusión de que un parche rápido no iba a ser suficiente para neutralizarlo, y tampoco podían compartir demasiados datos sin alertar a los hackers. En ese momento no había indicios de que el 0-day estuviera expuesto, pero eso cambió en enero de este año, lo que nos lleva al reporte original de FireEye. CVE-2017-0199 fue utilizado por «múltiples agentes» para esparcir al menos tres formas de malware, comenzando con FinSpy, Latentbot y Dridex. El caso de FinSpy es particular, ya que también lo conocemos como FinFisher, un spyware usado por docenas de gobiernos alrededor del mundo.
La propagación y las víctimas
Las primeras víctimas se limitaron a Rusia y Ucrania, lo que demostraba cierta precisión en la campaña. Tras reunir más evidencia, FireEye contactó con Microsoft, pero fue la confirmación de McAfee el 7 de abril la que esencialmente destapó el asunto, anunciando al mundo la existencia del 0-day. Dos días después, el mercado negro ya ofrecía variantes que explotaban CVE-2017-0199 para distribuir Dridex. Los ataques se desplazaron a Australia y otros países, con el objetivo de robar fondos de cuentas bancarias. La Universidad Ben-Gurion en Israel anunció que varios de sus empleados fueron hackeados «post-parche» por atacantes vinculados al gobierno iraní, que al parecer tomaron control de sus cuentas de correo y extendieron la distribución de documentos maliciosos a más de 250 objetivos. Se desconoce el número final de personas afectadas y la cantidad de dinero robado. Más allá de que la demora pueda estar justificada, es imperativo el desarrollo de una plataforma universal que permita coordinar mejor la comunicación entre investigadores de seguridad independientes y corporaciones.
