Propagación de malware a través de sitios vulnerados y MSN

Tal y como preveíamos cuando anunciamos la nueva vulnerabilidad de Internet Explorer (ya solucionada), era cuestión de tiempo hasta que aparecieran sitios vulnerados y en los cuales se llama a un script dañino que explota dicha vulnerabilidad para infectar usuarios.

En este momento se puede acceder a miles de sitios vulnerados a través de cualquier buscador y en ellos se puede ver un script ofuscado. La propagación de dicha amenaza también se está realizando a través de mensajería instantánea. Por ejemplo, un usuario infectado podría enviar el siguiente mensaje:

Al ingresar al sitio, también se llegar al siguiente script dañino:

Si se desofusca el código se puede ver que en realidad se trata del reciente exploit de XML de Internet Explorer, el cual funciona en las versiones 6.0 ó superior. Al ejecutarse dicho exploit en un sistema no actualizado, se descarga un troyano orientado a robar datos sensibles del usuario. ESET NOD32 detecta proactivamente el exploit como JS/Exploit.CVE-2008-4844.gen

Debido a que este exploit y cualquier otro puede encontrarse en cualquier sitio web, es fundamental actualizar el sistema, instalar un antivirus con capacidades proactivas y tomar las medidas de prevención ante la explotación de la vulnerabilidad.

Con respecto al cliente de mensajería instantánea, en Configurando ESET NOD32 Antivirus en MSN I y II encontrará información de utilidad para la prevención de esta y otras amenazas.

Click aquí para ver el original.

Prevención ante la explotación de la vulnerabilidad 0-Day en Internet Explorer

Como anunciamos, se está aprovechando una vulnerabilidad no solucionada en Internet Explorer para descargar malware. Aunque no se puede resolver completamente el problema, para mitigarlo y prevenirlo lo máximo posible, debemos realizar una sencilla configuración en el navegador.

Si bien las capturas que utilizaremos están basadas en la versión 7.0 de Internet Explorer, también son aplicables, aunque encuentren ligeras diferencias, para la versión 6.

En primer lugar, debemos acceder a las Opciones de Internet desde el menú Herramientas. Luego, en la solapa Seguridad, cambiamos el nivel de seguridad para la zona de Internet a Alto y finalizamos haciendo clic sobre el botón Aplicar. De esta manera deshabilitaremos funcionalidades como la ejecución de código Active scripting, ActiveX, Applets de Java, etc., brindando mayor grado de seguridad al navegador.

En la zona Sitios de confianza de la misma solapa, podemos especificar, a través del botón Sitios, las direcciones de los sitios web que consideramos de confianza.

En la solapa Privacidad, también es conveniente que, desde el botón Avanzada, se tilde la casilla de verificación llamada Invalidar la administración automática de cookies y, en las opciones que se habilitan, marcar en Preguntar.

Otra configuración importante que guarda relación directa con la explotación de vulnerabilidades es la relacionada a los objetos multimedia. Para controlarlo se debe deshabilitar dos opciones, Activar animaciones en páginas web y Reproducir sonidos en páginas web, ubicadas en la solapa Opciones avanzadas.

Por otro lado, y fuera de las configuraciones de seguridad propias del navegador, también es conveniente configurar la prevención de ejecución de datos (DEP) presente en plataformas Windows XP y Vista. Esto se logra accediendo a: Mi PC > Propiedades > Opciones avanzadas y en la sección rendimiento hacer clic sobre el botón Configuración.

Se abrirá la ventana Opciones de rendimiento y, en ella, debemos asegurarnos que se encuentre activada la opción Activar DEP sólo para los programas y servicios de Windows esenciales.

Por último, ESET NOD32 detecta y elimina estas amenazas por lo que es altamente recomendable actualizarlo y mantenerlo activo.

Click aquí para ver el original.

Vulnerabilidad no solucionada en Internet Explorer descarga malware

El lunes 8 de este mes, un día antes que aparecieran las actualizaciones mensuales de Microsoft, un grupo chino (presuntamente sin intención, aunque hay otras versiones) hacía circular por Internet un exploit 0-day (vulnerabilidad sin solución hasta el momento) para Internet Explorer 7.0. Al hacerse conocido en ese momento, imposibilita a la empresa a lanzar una actualización al día siguiente y logrando que el exploit se masificara.
Por eso, en este momento existen múltiples variantes del mismo que están siendo aprovechadas por los creadores de malware para difundir sus creaciones. Microsoft se encuentra trabajando en la solución en su Aviso de seguridad número 961051. Hasta el momento, se desconoce el impacto real de la vulnerabilidad pero se sabe que potencialmente podría incluir a Internet Explorer 6.0 o superior (en Windows XP, Windows Vista y Windows Server 2003 y 2008, aún con todos los Service Pack instalados), sin bien hasta ahora solamente se encuentran circulando exploits para la versión 7.0 del navegador.Los diferentes exploits activos explotan una vulnerabilidad en el manejo de etiquetas XML que efectúa Internet Explorer y, a través de un código Javascript, genera un código ejecutable (shellcode), que, a su vez, descarga otro archivo con diferentes troyanos. ESET NOD32 bloquea las amenazas.
Como puede verse el exploit permite ejecutar código arbitrario en el sistema del usuario y descargar cualquier tipo de programa dañino al sistema, lo que lo vuelve extremadamente peligroso.
Para agravar el problema, los exploits y malware se encuentran circulando en Internet ya que los mismos han sido inyectados a través de Javascript en cientos de sitios e incluso ya es posible encontrarlos con cualquier buscador. La inyección realizada en sitios vulnerables, que posean información en Microsoft SQL Server, es la siguiente:

Si el usuario ingresara a estos sitios, se llamará automáticamente al Javascript mostrado, comenzando la explotación del fallo y la consecuente descarga del malware. A continuación dejo una captura de pantalla del código Javascript que explota la vulnerabilidad en Internet Explorer 7.0 y genera la shellcode mencionada:

Y, a continuación otra imagen de lo que sucede al ingresar a un sitio modificado en el cual se insertó el Javascript:

Como puede verse en los recuadros se descargan distintos HTML, los cuales son explotaciones de vulnerabilidades anteriores ya solucionadas pero, que ante la duda, se ejecutan ya que existen millones de usuarios que aún no han actualizado su sistema. Luego, se encuentra el archivo “ie7.htm” que es el mostrado anteriormente y que descarga el archivo win.exe.
Resumiendo:
* Aparece una vulnerabilidad no parcheada (0-day) y el lunes 8 se publicó un exploit para la misma.* Microsoft aún se encuentra analizado el problema para lanzar quizás una actualización fuera del circuito de cada mes,* Existen diferentes explotaciones del malware que terminan descargando diferentes malware al equipo del usuario,* Existen cientos de sitios desde los cuales es posible infectarse simplemente ingresando,* ESET NOD32 detecta las amenazas, ya sea el exploit como los malware descargados a través de su Heurística Avanzada.
Pasos para la mitigación del problema (no resuelven completamente el problema):
Desde ESET hemos publicado una pequeña guía paso a paso para prevenir la explotación de esta vulnerabilidad y la posible descarga de malware y además es bueno seguir estos consejos:
* Actualizar a la brevedad para evitar que otras vulnerabilidades antiguas afecten nuestro sistema, sobre todo al ingresar a sitios webs como los mostrados en la imagen.* Instalar un antivirus con capacidades proactivas como ESET NOD32 que detecte tanto el exploit como el malware descargado.* Configurar el navegador en nivel Alto de seguridad y habilitar el Modo protegido de Internet Explorer en los sistemas que lo permitan, para prevenir la ejecución de código en páginas no confiables.* No autorizar ejecución de código cuando el navegador lo solicite, mostrando la barra amarilla en la parte superior del mismo.* Activar DEP (Data Execution Prevention), ya que por defecto se encuentra desactivado en Internet Explorer, para prevenir la ejecución de código en zonas de memoria no marcadas como ejecutables.* No utilizar el sistema con permisos administrativos para evitar la posible ejecución de código.
Repito que esto mitiga en gran parte del problema pero, no lo soluciona. Por eso, es fundamental contar con las herramientas adecuadas de prevención, el sentido común y los buenos hábitos y educación que cada día intentamos llevar a Uds. desde ESET.

Click aquí para ver el original.

Todas las versiones de IE con vulnerabilidad crítica

Como bien comentábamos en la noticia anterior, ha aparecido una nueva vulnerabilidad en Internet Explorer 7, peor yendo más allá e investigando un poco, he llegado a una conclusión, todos los navegadores de Internet Explorer que he conocido (desde la 4.5 creo recordar), han pasado por al menos una vulnerabilidad de carácter crítico.

Tanto IE6 como IE8 Beta 2 están incluidos en la lista, y se recomienda deshabilitar el Oledb32.dll para permanecer seguros.

Un investigador de seguridad danés añadió que las medidas de seguridad ejecutadas por Microsoft no son suficientes y recomienda a los usuarios tomar medidas...

En un boletin de seguridad, Microsoft confirmó la existencia del error y que está presente en todos sus navegadores, incluidos los más actuales: IE5.01, IE6 y IE7, así como IE8 Beta 2, una versión “preview” que se utiliza a modo de pruebas, y que no debe ser utilizada de manera habitual.

Microsoft agregó que están trabajando activamente con sus socios de Microsoft Active Protections Program (MAPP) y Microsoft Security Response Alliance (MSRA) para proporcionar información que pueda usarse para proporcionar una protección más amplia a los clientes. Microsoft está estudiando adoptar medidas contra sitios malintencionados que intentan aprovechar esta vulnerabilidad.

Los 40 digitales.

Nueva vulnerabilidad activa en Internet Explorer IE7

Una nueva vulnerabilidad descubierta en Internet Explorer 7, aún no solucionada por las actualizaciones de seguridad de Microsoft, está siendo activamente explotada según recientes reportes.

Apenas publicados los boletines de seguridad de diciembre, el Internet Storm Center del SANS Institute, recibió informes de un nuevo agujero de seguridad en Internet Explorer 7. Esta vulnerabilidad es considerada Zero Day (Día cero) por estar circulando un exploit que saca provecho de la misma, sin que exista hasta el momento un parche por parte del vendedor.

Los responsables de la divulgación de este fallo, podrían haber sido un grupo de expertos chinos que consideraron que el mismo iba a ser solucionado con las actualizaciones de diciembre, y por error lo publicaron. Sin embargo, también hay versiones no confirmadas, de que algunos creadores de malware ya lo conocían desde antes y que recién ingresó al mercado negro en noviembre, cuando alguien pagó por los detalles del mismo.

De acuerdo con los reportes actualizados, el fallo es utilizado por creadores de malware, no solo a través de sitios webs maliciosos, sino también de sitios normales que han sido comprometidos por medio de otra vulnerabilidad. La visita a los mismos puede hacer que se active un script (secuencia de comandos) en el ordenador de la víctima, que descargará y ejecutará una amenaza en el sistema vulnerable.

Si logra explotar exitosamente este fallo, el atacante ganará los mismos privilegios del usuario activo en el equipo en ese momento. Las cuentas de usuarios con menos derechos administrativos posibilitarán una menor exposición del sistema.

Microsoft ha publicado un informe al respecto, en el cual afirma estar conciente del problema e investigando para encontrar una solución. Según la empresa los ataques detectados son contra Internet Explorer 7 en Windows XP, Windows Vista y Windows Server 2003 y 2008, aún con todos los Service Pack instalados.

La habilitación del “Modo protegido” de IE7 en Windows Vista y el uso del nivel “Alto” de seguridad en el navegador afectado en los otros sistemas operativos, pueden ser un factor mitigante. En Windows Server 2003 y 2008, por defecto el navegador funciona en modo restringido, lo cual reduce las consecuencias de un ataque.

Es importante recalcar que estos ajustes NO evitan la explotación de la vulnerabilidad, solo dificultan su explotación.

Muy posiblemente los sitios web maliciosos estén preparados para aprovechar no solo ésta, sino otras vulnerabilidades existentes, por lo que se aconseja aplicar las últimas actualizaciones disponibles y mantener el software de seguridad al día.

Click aquí para ver el original.

Tracker de TORRENT con Malware

Según informa TorrentFreak, un tracker de Torrents pornográficos, se podía terminar descargando archivos PDF dañinos. Incluso SafeBrowsing, el servicio de Google ya ha calificado al sitio como peligroso debido a esta descarga de troyanos y scripts que se realizaba desde el mismo:

Luego de hacer las pruebas pertinentes en nuestro Laboratorio, pudimos confirmar que efectivamente el sitio web ha solucionado el problema y ya no se descargan dichos archivos si bien, lamentablemente, todavía se puede acceder de forma manual a los PDF dañinos. Por favor no descargue dichos archivos porque podría infectar su sistema.

Los PDFs explotan una vulnerabilidad ya solucionada por Adobe y por lo tanto es fundamental actualizar a la última versión de Adobe Reader para evitar ser víctimas de estos exploits.

Con respecto a los archivos, los mismos son detectados por ESET NOD32 como PDF/Exploit.Pidief, pero en el caso de no contar con un antivirus con capacidades proactivas y de no disponer de las actualizaciones de Adobe Reader necesarias, cualquiera de los PDF descargados son troyanos Downloader: install.exe y loader.exe desde otros sitios dañinos, también mencionados en el reporte de Google.

Estos archivos, detectados por ESET NOD32 como Win32/Olmarik.V, luego se encargarán de instalar el rogue XP Antivirus 2008 en el equipo del usuario (detectado en este caso como Win32/TrojanDownloader.FakeAlert.QU).

Por eso es fundamental tomar las medidas de precaución necesarias cuando se descarga archivos desde Internet. En este caso las medidas son:

* Verificar la reputación del sitio web visitado, como puede ser el informe de Google.
* Utilizar un antivirus con capacidades proactivas para la verificación de todos los archivo descargados
* Actualizar el sistema operativo y todas las aplicaciones utilizadas.

Click aquí para ver el original.