Alcuni siti web stanno utilizzando una vulnerabilità di sicurezza del browser per installare sui PC degli utenti vari tipi di malware, tra cui trojan e spyware. Gli esperti raccomandano prudenza

In queste ore l'attenzione della comunità degli esperti di sicurezza è stata catalizzata da una nuova vulnerabilità zero day di Internet Explorer. Il motivo di tanta allerta è che la debolezza non solo è priva di patch ma è già divenuta il bersaglio prediletto di cracker e malware di vario genere.

La falla è causata da un errore di buffer overflow nella libreria Vgx.dll di Windows, che implementa il linguaggio aperto XML-based VML (Vector Markup Language). La vulnerabilità, confermata da Microsoft in questo advisory, può essere sfruttata da malintenzionati per eseguire del codice da remoto ed eventualmente ottenere il pieno controllo del sistema vittima. Sono a rischio tutte le versioni ancora supportate di Windows, incluso Windows XP SP2 con tutte le ultime patch di sicurezza.

Alcuni esperti sostengono che questa libreria non è utilizzata solo da IE, ma anche da Office 2007 e da altre applicazioni di terze parti. Per il momento, tuttavia, gli exploit in circolazione fanno esclusivamente leva su IE e, per funzionare, necessitano che l'esecuzione di codice JavaScript sia consentita. Ne consegue che, in attesa della patch, uno dei primi modi per proteggersi è proprio quello di disattivare in IE l'esecuzione degli script. Questo workaround potrebbe però non funzionare con i futuri exploit: secondo quanto spiegato da alcuni esperti, infatti, per sfruttare la vulnerabilità non è necessario ricorrere a JavaScript.

Sarebbero già oltre una dozzina, stando a varie fonti, i siti web che utilizzano la falla VML di Windows per installare codici dannosi nei PC: tra questi si contano worm, cavalli di Troia, downloader, spyware e keylogger, la maggior parte dei quali finalizzati al profitto. La società di sicurezza Websense sostiene che la rapida diffusione di questi attacchi è favorita dalla recente inclusione dell'exploit della nuova falla in WebAttacker, un toolkit di origine russa che semplifica la creazione e la diffusione di malware.

Uno dei primi codicilli malefici ad aver sfruttato la breccia di IE è il cavallo di Troia Vimalov, che i principali antivirus sulla piazza hanno cominciato a riconoscere soltanto da ieri. Chi teme di essere stato infettato può controllare il proprio PC avvalendosi del servizio gratuito Windows Live OneCare di Microsoft (richiede l'uso degli ActiveX).

Tra le altre soluzioni temporanee proposte dagli esperti per proteggersi dalla vulnerabilità vi è la disattivazione della libreria vgx.dll: per farlo occorre cliccare sul menù Start, Esegui… e digitare la seguente stringa:
regsvr32 -u "c:\Programmi\File Comuni\Microsoft Shared\VGX\vgx.dll" (cambiare la lettera dell'unità se Windows è installato in una partizione diversa da c:).
Una volta dato l'Ok, nessun programma (inclusi i malware!) potranno più utilizzare questo file.

Altri workaround vengono fontiti nell'advisory di Microsoft e in questo advisory di SANS Institute, in cui si raccomanda anche agli utenti di non aprire siti web dalla dubbia affidabilità. Della vulnerabilità si sono occupati praticamente tutte le società e gli organi dediti alla sicurezza informatica, tra cui FrSIRT, Secunia, US-CERT, ISS e Sunbelt Software: quest'ultima è la società che per prima ha reso il problema di pubblico dominio. Un po' tutte le organizzazioni sono state concordi nell'assegnare alla falla il massimo livello di pericolosità.

Attualmente Microsoft sta testando una patch che potrebbe rilasciare il prossimo 10 ottobre, in occasione della pubblicazione dei suoi bollettini mensili di sicurezza, oppure, come si legge nell'advisory di BigM, "anche prima, in base alle esigenze dei nostri clienti". Molti ritengono assai più probabile quest'ultima ipotesi, vista la rapida crescita di minacce che sfruttano il bug.

Fonte: Punto Informatico 

Un nuovo cavallo di Troia prende a bersaglio una vulnerabilità non patchata di Word 2000 per diffondere sui PC altri malware e prenderne il controllo da remoto

In Word 2000 è stata scoperta una vulnerabilità di sicurezza ancora senza patch e, cosa ben peggiore, già sfruttata dai cracker per diffondere altri malware.

Il primo cavallo di Troia a sfruttare il bug zero-day di Word 2000 è Mdropper.Q, capace di installare sui PC compromessi un altro malware noto come Backdoor.Femo: quest'ultimo può essere utilizzato da un cracker per prendere il pieno controllo di un sistema da remoto.

A mitigare la pericolosità di questa minaccia interviene il fatto che la vulnerabilità non si presta ad essere sfruttata da codici in grado di diffondersi autonomamente, come i worm: perché un utente si infetti è infatti necessario che apra un documento maligno utilizzando Word 2000.

Se è vero che Word 2000 è stato rilasciato 7 anni or sono, alcuni analisti stimano che la versione di Office a cui appartiene venga ancora utilizzata da un non trascurabile numero di utenti, specie sui PC in cui gira Windows 9x. Tra l'altro, Secunia non ha escluso la possibilità che la falla possa interessare anche altre versioni di Office.

Sia FrSIRT che Secunia hanno classificato la vulnerabilità con il massimo grado di pericolosità.

Fonte: Punto Informatico