Kaspersky Lab descubre una vulnerabilidad de día cero en Microsoft Silverlight

Kaspersky Lab se ha hecho eco de una vulnerabilidad de día cero recientemente localizada en Silverlight, que afortunadamente ya ha sido corregida en los boletines de seguridad publicados por Microsoft el 12 de enero. De ser explotada, dicha vulnerabilidad permitiría a un cibercriminal obtener acceso completo a un equipo comprometido y ejecutar código malicioso para robar información secreta y realizar otras acciones ilegales.
La investigación sobre la vulnerabilidad de Silverlight comenzó hace más de cinco meses a partir de un artículo publicado por Ars Technica sobre el ataque contra Hacking Team. En el mismo, se mencionaba el supuesto filtrado de correo entre los representantes de Hacking Team y Vitaliy Toropov, un autor de exploits independiente, que intentaba vender un exploit de día cero de cuatro años y aún sin parchear de tecnología Microsoft Silverlight. Este dato despertó el interés de los analistas de Kaspersky Lab, que comenzaron su investigación utilizando el nombre del vendedor.
Los analistas descubrieron que un usuario que se hacía llamar Vitaliy Toropov era un colaborador muy activo en Open Source Vulnerability Database (OSVDB), un sitio donde cualquiera puede publicar información sobre vulnerabilidades, y donde Toropov publicó en 2013 una prueba de concepto que describía un error en la tecnología Silverlight. La prueba concepto cubría una vieja vulnerabilidad conocida y parcheada, pero también contenía detalles adicionales que dieron a los analistas de Kaspersky Lab una pista sobre cómo el autor del exploit escribía los códigos. Con esta información se crearon varias reglas de detección para las tecnologías de protección de Kaspersky Lab.
“No sabemos si el exploit que descubrimos es, de hecho, el que se mencionaba en el artículo de Ars Technica, pero tenemos motivos de peso para creer que sí lo es. La comparación del análisis de este archivo con el trabajo previo de Vitaliy Toropov nos hace pensar que el autor del exploit descubierto y el autor de las pruebas de concepto publicadas en OSVDB en nombre de Toropov es la misma persona. Al mismo tiempo, no se descarta la posibilidad de que nos encontremos otro exploit de día cero en Silverlight”, explica Costin Raiu, director del GREAT de Kaspersky Lab. “Animamos a todos los usuarios de los productos de Microsoft a que actualicen sus sistemas lo antes posible para solucionar esta vulnerabilidad".