Una vulnerabilidad de secuencias de comandos de sitios (XSS) en un marco de gira virtual ha sido armado por actores maliciosos para inyectar guiones maliciosos en cientos de sitios web con el objetivo de manipular los resultados de b\u00fasqueda y alimentar una campa\u00f1a de anuncios de spam a escala.<\/p>\n
El investigador de seguridad Oleg Zaytsev, en un informe compartido con The Hacker News, dijo la campa\u00f1a, doblada 360xss<\/strong> – Afect\u00f3 a m\u00e1s de 350 sitios web, incluidos portales gubernamentales, sitios del gobierno estatal de los Estados Unidos, universidades estadounidenses, cadenas hoteleras principales, medios de comunicaci\u00f3n, concesionarios de autom\u00f3viles y varias compa\u00f1\u00edas Fortune 500.<\/p>\n “Esto no fue solo una operaci\u00f3n de spam”, el investigador dicho<\/a>. “Fue un abuso a escala industrial de dominios de confianza”.<\/p>\n Todos estos sitios web tienen una cosa en com\u00fan: un marco popular llamado Krpano<\/a> Eso se usa para incrustar im\u00e1genes y videos de 360 \u200b\u200b\u00b0 para facilitar los recorridos virtuales interactivos y las experiencias de realidad virtual. <\/p>\n Zaytsev dijo que se top\u00f3 con la campa\u00f1a despu\u00e9s de encontrarse con un anuncio relacionado con la pornograf\u00eda que figura en la b\u00fasqueda de Google pero con un dominio asociado con la Universidad de Yale (“VirtualTour.quantuminstitute.yale[.]edu “).<\/p>\n Un aspecto notable de estas URL es un par\u00e1metro XML dise\u00f1ado para redirigir al visitante del sitio a una segunda URL que pertenece a otro sitio web leg\u00edtimo, que luego se utiliza para ejecutar una carga \u00fatil codificada Base64 a trav\u00e9s de un documento XML. La carga \u00fatil decodificada, por su parte, obtiene la URL objetivo (es decir, el anuncio) de otro sitio leg\u00edtimo.<\/p>\n El par\u00e1metro XML aprobado en la URL original que se sirve en los resultados de b\u00fasqueda es parte de una configuraci\u00f3n m\u00e1s amplia llamada “PassQueryParameters<\/a>” eso es usado<\/a> cuando incrustando un espectador de Krpano Panorama<\/a> en una p\u00e1gina HTML. Est\u00e1 espec\u00edficamente dise\u00f1ado para pasar los par\u00e1metros HTTP de la URL al espectador.<\/p>\n El problema de seguridad aqu\u00ed es que si la opci\u00f3n est\u00e1 habilitada, abre la puerta a un escenario en el que un atacante podr\u00eda usar una URL especialmente elaborada para ejecutar un gui\u00f3n malicioso en el navegador web de una v\u00edctima cuando se visite el sitio vulnerable.<\/p>\n De hecho, se revel\u00f3 una falla de XSS reflejada como resultado de este comportamiento en Krpano a fines de 2020 (CVE-2020-24901<\/a>Puntaje CVSS: 6.1), lo que indica que el potencial de abuso<\/a> ha sido conocido p\u00fablicamente por m\u00e1s de cuatro a\u00f1os.<\/p>\n Mientras que una actualizaci\u00f3n introducida en la versi\u00f3n 1.20.10 “PassQueryParameters” restringida a una lista de algod\u00edn en un intento de evitar que se produjeran tales ataques XSS, Zaytsev descubri\u00f3 que agreg\u00f3 expl\u00edcitamente el par\u00e1metro XML a la lista de alquiler reintrodujo el riesgo de XSS.<\/p>\n “Desde la versi\u00f3n 1.20.10, la instalaci\u00f3n predeterminada de Krpano no fue vulnerable”, dijo el investigador a The Hacker News por correo electr\u00f3nico. “Sin embargo, la configuraci\u00f3n de PassQueryParameter en combinaci\u00f3n con el par\u00e1metro XML permiti\u00f3 la configuraci\u00f3n XML externa a trav\u00e9s de la URL, lo que lleva a un riesgo de XSS”.<\/p>\n “Las versiones explotadas que he encontrado fueron principalmente las m\u00e1s antiguas, anteriores a la versi\u00f3n 1.20.10”.<\/p>\n La campa\u00f1a, seg\u00fan Zaytsev, ha aprovechado esta debilidad para secuestrar m\u00e1s de 350 sitios para publicar anuncios incompletos relacionados con pornograf\u00eda, suplementos de dieta, casinos en l\u00ednea y sitios de noticias falsas. Adem\u00e1s, algunas de estas p\u00e1ginas han sido armadas para aumentar las vistas de video de YouTube.<\/p>\n La campa\u00f1a es notable, sobre todo porque abusa de la confianza y la credibilidad de los dominios leg\u00edtimos para aparecer prominentemente en los resultados de b\u00fasqueda, una t\u00e9cnica llamada Comenzamiento de optimizaci\u00f3n de motores de b\u00fasqueda (SEO)<\/a>que, a su vez, se logra abusando de la falla XSS.<\/p>\n “Un XSS reflejado es una vulnerabilidad divertida, pero por s\u00ed solo requiere la interacci\u00f3n del usuario, y uno de los mayores desaf\u00edos es hacer que las personas hagan clic en su enlace XSS reflejado”, dijo Zaytsev. “Por lo tanto, usar los motores de b\u00fasqueda como plataforma de distribuci\u00f3n para su XSS es una forma muy creativa y genial de hacerlo”.<\/p>\n Despu\u00e9s de la divulgaci\u00f3n responsable, la \u00faltima versi\u00f3n de Krpano elimina el soporte para la configuraci\u00f3n externa a trav\u00e9s del par\u00e1metro XML, mitigando as\u00ed el riesgo de ataques XSS incluso cuando se usa la configuraci\u00f3n.<\/p>\n “Seguridad mejorada de incrustpano () passQueryParameters: las URL de datos y las URL externas generalmente no est\u00e1n permitidas ya que los valores de los par\u00e1metros y las URL para el par\u00e1metro XML est\u00e1n limitadas para estar dentro de la estructura de la carpeta actual”, seg\u00fan el notas de lanzamiento<\/a> Para la versi\u00f3n 1.22.4 lanzada esta semana.<\/p>\n Actualmente no se sabe qui\u00e9n est\u00e1 detr\u00e1s de la operaci\u00f3n masiva, aunque el abuso de un defecto de XSS para servir solo redirige, en lugar de llevar a cabo ataques m\u00e1s nefastos como credenciales o robo de cookies, plantea la posibilidad de una empresa publicitaria con pr\u00e1cticas cuestionables que sirven a estos anuncios como una estrategia de monetizaci\u00f3n.<\/p>\n Se recomienda a los usuarios de Krpano que actualicen sus instalaciones a la \u00faltima versi\u00f3n y establezcan la configuraci\u00f3n “PassQueryParameters” en FALSO. Se recomienda a los propietarios de sitios web afectados para encontrar y eliminar p\u00e1ginas infectadas a trav\u00e9s de la consola de b\u00fasqueda de Google.<\/p>\n <\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Los-hackers-explotaron-la-falla-del-marco-de-Krpano-para.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n