Un exploit para Firefox permite desenmascarar y atacar a usuarios de Tor en Windows [Actualizado: solucionado]

Publicada por primera vez ayer en la web oficial de Tor, ha sido desvelado un exploit para Firefox que afecta sobre todo a los usuarios de Tor Browser, basado en el navegador de Mozilla y utilizado para navegar por la Darknet. Se trata de un exploit que se aprovecha de una nueva vulnerabilidad zero-day que también podría afectar a otros usuarios de Firefox según Ars Technica.

Lo que si se sabe es que su código está escrito en JavaScript, y que está siendo utilizado ahora mismo contra los usuarios del navegador del proyecto Tor, y es capaz de comprometer su anonimato y desenmascararlos. Estamos ante algo lo suficientemente serio y efectivo para que los desarrolladores de Mozilla hayan asegurado que ya están trabajando en una solución.

Según los investigadores que han analizado el código consultados por Ars Technica, este código explota una vulnerabilidad de corrupción de memoria que permite ejecutar código malicioso en equipos que ejecutan Windows. Concretamente, se aprovecha de un error de desbordamiento que requiere que JavaScript esté habilitado en el equipo vulnerable

El código del exploit parece ser 100% efectivo para ejecutar código remoto en equipos Windows, y realiza llamadas directas al archivo kernel32.dll, una parte esencial del sistema operativo Windows. También hay indicios que prueban que sus creadores llevan tiempo testándolo intensivamente para asegurarse de que funciona en múltiples versiones de Firefox.

El FBI podría estar detrás del exploit

El exploit, como hemos dicho, se aprovecha de una vulnerabilidad zero-day de Firefox. Este tipo de vulnerabilidades son las que están presentes desde el principio en un proyecto pero que no son desveladas hasta ahora. En muchas ocasiones tardan en ser desveladas porque quienes las descubren prefieren no decir nada y simplemente aprovecharse de ellas creando exploits.

En este caso, investigadores independientes como el usuario de Twitter @TheWack0lian apuntan al FBI como una de las entidades que puede estar detrás, ya que asegura que el exploit es prácticamente idéntico a uno utilizado por los federales en 2013 para descubrir a los usuarios de Tor que estaban visitando una página de pornografía infantil en la Darknet.

Al parecer la mayoría del código es idéntico con sólo mínimos cambios, y que ejecuta su código de una manera muy similar a como lo hacía el utilizado en 2013. En aquel caso el código enviaba los datos recogidos a la IP 65.222.202.54, mientras que el nuevo exploit los envía a la 5.39.27.226, asignada a la empresa francesa de hosting OVH que de momento no ha hecho ninguna declaración al respecto.

En cualquier caso, representantes de Mozilla ya han asegurado que están al corriente de la vulnerabilidad de la que se aprovecha el exploit, y que ya están trabajando en parchearla. Hasta que llegue la actualización lo mejor será andar con cuidado, porque ahora que se ha publicado el código del exploit muchas más personas podrían intentar aprovecharlo.

Actualizado: Que no cunda el pánico, porque Mozilla acaba de anunciar que ya ha solucionado el bug.

Vía | Ars Technica
En Genbeta | Aprovechan un bug de Facebook para insertar imágenes con las que infectarte de ransomware