El defecto del navegador de Windows 10 permite a los piratas informáticos robar sus contraseñas

Parche su instalación de Windows 10 si no lo ha hecho últimamente: hay una falla grave en el navegador Edge que podría permitir que un atacante remoto robe contraseñas y otra información personal confidencial de su computadora.

La falla, descubierta por el investigador de seguridad turco Ziyahan Albeniz, tiene que ver con la forma en que Edge maneja los archivos locales. Como todos los navegadores, Edge puede mostrar HTML y otros archivos compatibles con el navegador que están en su computadora con la misma facilidad que puede mostrar páginas web (que en realidad son solo archivos HTML en la computadora de otra persona).

Para corregir esta falla en su máquina, ejecute los paquetes de actualización de seguridad de junio o julio emitidos por Microsoft si su máquina no está configurada para actualizarse automáticamente. Puede ir a Configuración, luego a Actualizaciones y seguridad y luego a Buscar actualizaciones. Si está completamente actualizado, ya ha terminado.

MÁS: Cómo usar Windows 10

El problema aquí es que hasta las actualizaciones de seguridad de junio, Edge, el "nuevo" navegador de Microsoft, no se protegía contra archivos locales maliciosos, solo archivos maliciosos en servidores web remotos. Es un descuido tonto pero comprensible, como dijo Albéniz en una publicación de blog en el sitio de su empleador, la firma de seguridad londinense Netsparker.

"Una cosa que a menudo se pasa por alto en proyectos de desarrollo nuevos y similares es el conocimiento adquirido durante años de pequeñas correcciones de seguridad en el producto original [es decir, Internet Explorer]", escribió Albeniz. "Son estas correcciones de seguridad, y el conocimiento que las acompaña, las que pueden perderse al rediseñar un navegador web. Eso podría explicar por qué Microsoft Edge fue el único navegador que encontré que era vulnerable a esta falla".

Debido a este error, un delincuente podría enviarle un archivo HTML adjunto por correo electrónico. Si abrió o obtuvo una vista previa del archivo en la aplicación de correo incorporada de Windows 10, que usa Edge para mostrar archivos HTML, el archivo inmediatamente podrá leer y copiar información de todos los demás archivos compatibles con el navegador en su computadora, como archivos de texto , JPEG.webp y GIF.webp.

El archivo podría enviar cualquier información recopilada a un servidor remoto. No tendría que ser un archivo complicado: el archivo malicioso de prueba de concepto de Albéniz consta de 19 líneas que suman 931 kilobytes.

¿Y … que piensas? Bueno, mucha gente escribe contraseñas, números de cuentas bancarias y otra información importante en archivos de texto guardados en sus escritorios. Albéniz colocó un video que muestra cómo podría ocurrir un ataque.

"Probablemente no exista ningún programa antivirus que reconozca mi archivo como malicioso, y podría extraer los archivos a través de una conexión HTTPS segura", señaló Albeniz. "Esto es lo que hace que este ataque sea tan sigiloso".

Crédito de la imagen: T.Dallas / Shutterstock