Una investigación reciente de seguridad ha revelado una vulnerabilidad de “cero clics” (0-click) en el navegador Opera GX. Este fallo permitía a los atacantes extraer silenciosamente datos confidenciales de los usuarios sin requerir ninguna interacción, abusando de la función de personalización “GX Mods” y empleando técnicas avanzadas de inyección de CSS.
Veredicto Analítico
- Estado: Confirmado. Vulnerabilidad parcheada por Opera tras una divulgación coordinada en mayo de 2026.
- Confianza: Absoluta. Documentado exhaustivamente mediante pruebas de concepto (PoC) funcionales de exfiltración.
- Riesgo para SOC, TDIR y Redes: Medio / Alto (a nivel de endpoint). Puede comprometer correos electrónicos, sesiones activas y datos sensibles renderizados en el navegador corporativo.
- Urgencia Operativa: Media. Requiere validar que todos los usuarios que utilicen Opera GX en la infraestructura tengan instalada la actualización de seguridad de mayo de 2026 o superior.
- Base del Veredicto: La instalación automática de archivos de modificación (.crx) sin confirmación explícita del usuario, lo que habilita ataques de fuga de información entre sitios (XS-Leak).
Hallazgos Clave
- Vulnerabilidades Identificadas: Robo de información confidencial sin interacción y Denegación de Servicio (DoS) local. Activar la instalación de un mod en modo de navegación privada provocaba el bloqueo del navegador y la finalización de las sesiones.
- Componente Afectado: La función “GX Mods” de Opera GX, encargada de gestionar y aplicar personalizaciones empaquetadas en archivos .crx.
Análisis Técnico: Mecanismo de Explotación
Esta amenaza demuestra cómo las funciones de personalización aparentemente inofensivas pueden ser explotadas utilizando vectores no convencionales:
- Infección Inicial (0-click): La víctima es atraída a visitar un sitio web controlado por el atacante. Al acceder, la página fuerza la descarga y la instalación silenciosa en segundo plano de un archivo .crx malicioso. El usuario no recibe ninguna solicitud de permisos.
- Inyección CSS Universal: A diferencia de las extensiones tradicionales, los GX Mods no admiten JavaScript. Sin embargo, el mod malicioso inyecta hojas de estilo CSS en absolutamente todos los sitios web que visite el usuario.
- Exfiltración de Datos (XS-Leak): El atacante inyecta miles de selectores CSS diseñados para detectar secuencias de tres caracteres (trigramas) dentro del código HTML de la víctima (por ejemplo, en la bandeja de entrada de Gmail). Si el CSS detecta un trigrama coincidente, carga un recurso externo de forma condicional.
- Reconstrucción: Cada solicitud de recurso envía una pequeña porción de información al servidor del atacante, que finalmente utiliza un algoritmo para ensamblar y revelar el dato confidencial completo de la víctima, burlando los bloqueos de scripts habituales.
Tácticas, Técnicas y Procedimientos (MITRE ATT&CK)
- Acceso Inicial: Compromiso por Descarga Oculta (Drive-by Compromise – T1189).
- Recopilación: Datos de Sistemas Locales o Repositorios de Información (Data from Information Repositories – T1213) mediante la lectura indirecta del código HTML.
- Exfiltración: Exfiltración a través de Protocolos Alternativos (Exfiltration Over Alternative Protocol – T1048) utilizando cargas de recursos CSS (peticiones web en segundo plano).
Recomendaciones Operativas
Para Administración de Redes y TI
- Auditoría y Actualización de Endpoints: Verificar mediante herramientas de gestión (MDM/RMM) si existe el navegador Opera GX instalado en los equipos corporativos y asegurar su actualización a versiones posteriores a mayo de 2026.
- Control de Aplicaciones: Considerar la restricción del uso de navegadores no estandarizados o orientados a “gaming” (como Opera GX) en entornos corporativos de alto cumplimiento, limitando la navegación a opciones centralizadas como Chrome, Edge o Firefox.
Para el Centro de Operaciones de Seguridad (SOC)
- Monitoreo de Anomalías: Vigilar las resoluciones DNS o peticiones HTTP masivas originadas desde navegadores hacia dominios sospechosos o con patrones repetitivos, lo cual podría indicar un ataque de exfiltración fragmentada en progreso.
