Robar el portapapeles con Internet Explorer

Cuelga el compañero Bernardo en el blog del laboratorio Hispasec una interesante prueba de concepto, sencilla pero ilustrativa, mediante la cual es posible capturar ilícitamente los contenidos del portapapeles de Microsoft Windows, siempre que se navegue con una versión de Internet Explorer vulnerable (hasta el día de hoy, todas a partir de la versión 5). Cito a Bernardo, que explica un método para dejar de ser vulnerables a través de la configuración del explorador:

No, con Firefox no pasa, y también se puede evitar en Internet Explorer en el caso de que hayas comprobado que eres «vulnerable» en la prueba anterior. Desde el menú Herramientas -> Opciones de Internet -> pestaña Seguridad -> Nivel personalizado -> Automatización -> Permitir operaciones de pegado por medio de una secuencia de comandos -> seleccionar Pedir datos (si quieres que Internet Explorer te avise si alguna web intenta capturar los datos del portapapeles) o Desactivar (para rechazarlo siempre).

El problema radica en la metodología que emplea el objeto clipboardData, cuyo modus operandi elemental es la transferencia de información a través del portapapeles del sistema, reteniendo la información hasta que operaciones de edición sucesivas suplantan los contenidos almacenados. Es decir, el clásico copiar y pegar, donde podemos pegar infinitas veces los datos del portapapeles, pero sólo hasta que copiamos un instancia nueva, momento en el que la instancia que se retenía en el portapapeles es sustituída por la nueva.

Si a ésto añadimos el trabajo conjunto con el método getData, simplemente a través de la invocación de setInterval, un script elemental podría comprobar los cambios en los elementos del portapapeles, transfiriendo los contenidos del mismo a través de un formulario oculto o bien empleando el objeto ActiveX XMLHTTP, al punto de destino que un usuario malicioso hubiera determinado.

Pese a que el problema no tendría por qué ser crítico, no menos cierto es que muchas veces copiamos y pegamos información sensible: DNI, PINs, claves, cuentas bancarias, etc. Así que si eres usuario de Internet Explorer, toma nota y corrige el problema.