Hackers han conseguido lanzar ataques introduciendo código en imágenes subidas a Imgur.

Todo empezó cuando unos usuarios de la comunidad de reddit r/4chan (dedicada al foro anónimo 4chan) se dieron cuenta de que algunas imágenes compartidas por Imgur no se veían hasta que recargaban la página, o que se cargaban muchas más.

Casi al mismo tiempo la web 8chan, inspirada en 4chan pero considerada como una comunidad independiente y rival, sufría problemas de conexión. ¿Había relación entre ambos hechos? No se conocen todos los detalles, y la cosa aún no ha terminado, pero todo apunta a que sí.

Código en imágenes subidas a Imgur sirve para atacar a webs y sus usuarios

Todo apunta a que Imgur tiene un serio bug en la forma en la que procesa las imágenes una vez que las subimos. Los atacantes sabían eso e incluyeron en unas imágenes código en Javascript que es ejecutado en cuanto cargamos la imagen, para que al compartirlas en reddit miles de usuarios lo ejecutasen.

No queda claro si lo que hace el código afecta de alguna manera al usuario, pero sí se sabe que carga otro código almacenado en 4cdns.org (que en principio y aunque se parezca al dominio que usa 4chan, 4cdn.org, no tiene nada que ver). Ese código a su vez carga dos nuevos elementos: un archivo SWF (flash) almacenado en los servidores de 8chan, y otra imagen que vuelve a cargar código, ambos ocultos para el usuario.

codigo imgur

Qué es lo que hace el archivo SWF aún no está claro, pero si que se sabe que el código Javascript modifica el almacenamiento local del navegador del usuario relativo a 8chan; esto en teoría es posible ya que el archivo SWF está en sus servidores. El resultado es que, cada vez que el usuario visita 8chan, manda un aviso a un servidor externo, aunque por el momento este parece que no hace nada.

Pero incluso si no somos usuarios de 8chan este es un grave problema de seguridad en Imgur, uno de los sitios de imágenes más usados de la red, especialmente en reddit. Si un atacante usa el mismo método, podría afectar a otras webs. Imgur ya ha anunciado que está trabajando en una solución.