El portal web de Amnistía Internacional del Reino Unido fue hackeado para alojar el peligroso troyano Gh0st RAT dos días en esta semana, revela la compañía de seguridad Websense.

Ataca a los navegadores que no están parchados contra la vulnerabilidad común en Java CVE-2012-0507 (también usada por el troyano de Mac Flashback), los visitantes del 8 y 9 de mayo corren el riesgo de haber descargado un ejecutable de Windows escondido en un certificado digital válido de VeriSign.

Cualquiera que haya dado clic en “Aceptar” en el falso instalador, pudo haberse infectado con el Gh0st RAT, un potente troyano de puerta trasera usado para obtener contraseñas, archivos y todo aquello que el atacante quiera tomar del sistema infectado.

El código web inyectado fue removido después de que Websense avisara a Amnistía del problema.

El acto tiene todas las características de una serie de ataques que parecen tener como objetivo organizaciones y simpatizantes pro-Tibet, muy probablemente un grupo conectado a China.

En marzo, Gh0st RAT fue parte del ataque “ByShe” dirigido a la Administración Central del Tibet y a la Campaña Internacional por el Tibet usando un adjunto malicioso de Word. Ese ataque también explotó un certificado digital de Verisign, que fue revocado en esa ocasión.

El certificado usado en el último ataque contra Amnistía fue atribuido a una compañía China con base en Shenzen, mientras que Gh0st RAT está asociado con el grupo activo de hackers chinos GhostNet.

“Los kits de exploits apuntan a sitios web vulnerables, incluso algunos con buenas intenciones” dijo el director general de Websense Security Labs, Carl Leonard. “Esta intromisión es más seria que el promedio. Con una tasa media de baja detección, Gh0st RAT es una poderosa herramienta que permite el acceso por puerta trasera a las máquinas infectadas”.

La semana pasada Websense reportó que el sitio del Consejo Nacional de Estudios (INSS por sus siglas en inglés) fue comprometido empleando la misma vulnerabilidad de Java CVE-2012-0507 para distribuir el troyano Poison Ivy, un pariente de Gh0st RAT con el mismo diseño para el robo de datos.

La lección, como siempre, consiste en no instalar algo que aparezca de repente, cerrando los procesos del navegador manualmente si se presenta un mensaje de Control de Cuentas de Usuarios de Windows que parezca sospechoso.

Los navegadores siempre deben actualizarse cuidadosamente, incluyendo los complementos para los objetivos más comunes de software como Java y Flash.