Opera ha anunciado que el pasado 19 de junio sufrió un ataque dirigido sobre su red interna, resultado: robo de un antiguo certificado empleado para firmar código. La compañía reconoce que ha sido usado para firmar malware y que incluso miles de usuarios del navegador (durante un periodo de algo más de media hora) han podido recibir una actualización maliciosa de forma automática.
No es la primera vez que a una importante compañía le roban un certificado digital empleados para la firma de su software, podemos recordar casos como los de Adobe o la compañía antivirus Bit9. Al final el resulto es el mismo, unos atacantes logran firmar malware con un certificado legítimo, lo que puede facilitar su instalación, pasar desapercibido ante algunos antivirus o hacerse pasar por software legítimo sin levantar sospechas. Esto es lo que ha ocurrido recientemente en Opera.
Aunque el aviso de Opera anuncia un impacto limitado, que el ataque fue contenido y sus sistemas revisados, reconocen el robo de un antiguo certificado expirado usado para la firma de código. El portavoz de Opera, Sigbjorn Vik, indicó que el certificado se ha usado para la firma de malware.
«Esto puede permitirle distribuir software malicioso que aparezca incorrectamente como publicado por Opera Software, o que parezca ser el navegador Opera«
Actualmente se reconoce la existencia de al menos una muestra de malware firmada con este certificado y que actualmente, según VirusTotal, la detectan 23 de 47 antivirus. Lo que puede considerarse aun más grave es que, según la alerta, varios miles de usuarios del navegador Opera en el sistema operativo Microsoft Windows podrían haber sido objeto de una actualización maliciosa de manera automática. El responsable de Opera estima que la ventana de exposición habría sido desde las 01:00 a las 01:36 horario UTC (entre las 3:00 y la 3:36 hora española) del día 19 de junio.
No se aclara en el comunicado si los atacantes llegaron a usar la infraestructura de Opera para liberar la actualización maliciosa, ya que según la ventana de tiempo podría coincidir con el ataque. Otra posibilidad sería que hubiesen comprometido los servidores de nombres de Opera, los cuales se encuentran en su infraestructura, y hubiesen usado un servidor malicioso.
Cabría destacar el hecho de que el ataque haya sido detectado el día 19, al mismo tiempo que la ventana de exposición. Sin embargo este tipo de ataque requiere de cierta complejidad y no sería exagerado pensar que los atacantes podrían haber llevado más tiempo, días tal vez, dentro de su infraestructura.
Opera confirma que liberará una nueva versión del navegador que incluirá un nuevo certificado, por lo que recomiendan encarecidamente que se actualice a la nueva versión tan pronto como esté disponible.
Más información:
Security breach stopped
una-al-dia (13/02/2013) El ataque a Bit9, malware firmado con certificados y otras conclusiones
una-al-dia (30/09/2012) ¿Qué ha pasado con el certificado de Adobe?
8ecbca0de44c82d1c7ffced288aa68c1247bb1255693cd1c5747fb6cef394b43
David García
Twitter: @dgn1729
Antonio Ropero
Twitter: @aropero
Erratas:
«entre las 3:00 y la 1:36 hora española», seran las 3:36.
Y ese párrafo esta repetido 2 veces.
Un saludo.
@Anónimo: Es correcto. Corregido. Gracias.