Además: Un riesgo de phishing en IE 7, agujeros en QuickTime y actualizaciones para compatibilidad con Vista.
Precisamente cuando los expertos de seguridad de Microsoft celebraban un raro mes sin emitir parches, los cibercriminales les aguaban la fiesta al atacar un serio agujero en Windows Vista y XP. Bastaría ver un sitio en la Web o leer un correo electrónico HTML que incluyera un archivo de cursor animado (.ani) envenenado para que los atacantes pudieran secuestrar su PC.
El defecto puede ser aprovechado utilizando navegadores, incluso el Internet Explorer (6 y 7) y el Firefox, y también por medio de versiones de Outlook 2002 SP3 y posteriores, en sistemas con Windows XP SP2 y Vista. Microsoft dice que el riesgo con el IE 7 está mitigado en Vista por el modo protegido de IE y que Outlook 2007 está seguro porque usa Word para mostrar el correo electrónico en formato HTML.
Lo que me irrita es que Microsoft sabía que el agujero existía tres meses antes de que comenzaran los ataques. Obtenga el parche en Automatic Updates o en http://www.pcwla.com/buscar/07061501.
Los problemas del IE 7 continúan con una demostración de concepto para un ataque de phishing publicado por el investigador de seguridad Aviv Raff. Usando este concepto, un atacante podría engañarle a usted y al IE por medio de un correo electrónico o de un vínculo en la Web que le lleve a una página de error adulterada que, si se refresca tal como se indica, le enviaría a un sitio de phishing. El sitio falso seguiría mostrando el URL del sitio verdadero en la barra de direcciones, potencialmente burlando a los internautas más cuidadosos. Microsoft todavía no ha publicado una solución, así que, como siempre, lo mejor es que no pulse nunca un vínculo en el correo electrónico para acceder a su cuenta de banco u otra cuenta financiera, aun cuando esté completamente seguro de que el correo electrónico es legítimo. En vez de esto, escriba la dirección usted mismo o use un marcador de página. Para más información, incluso una prueba de vulnerabilidad, vea http://www.pcwla.com/buscar/07061502.
Demasiado cuidado
Microsoft reparó un problema en la manera en que su aplicación antivirus OneCare maneja los archivos de correo electrónico de Outlook (.pst) y Outlook Express (.dbx). En vez de extraer un correo electrónico sospechoso, OneCare ponía en cuarentena el archivo de mensajes completo, lo que daba la impresión de que todo el correo electrónico del usuario había desaparecido.
Las versiones 1.1.2306.0 o posteriores tienen la corrección, que es enviada por medio de una actualización automática de OneCare. Visite http://www.pcwla.com/buscar/07061503 para más detalles.
En una nota más positiva, Microsoft va a emitir otro lote de parches que mejoran la compatibilidad con Vista de una variedad de programas, entre ellos el Trend Micro Internet Security 2007 y Microsoft Money 2006. Para obtener la corrección y una lista de las aplicaciones afectadas, vea http://www.pcwla.com/buscar/07061504. No se sorprenda si estas correcciones se convierten en algo regular.