Microsoft Security Intelligence Report (SIR) - Volume 15

A Microsoft disponibilizou o Security Intelligence Report (SIR) - Volume 15, que abrange Jan/13 a Jun/13.

O relatório analisa traz uma visão dos exploits, vulnerabilidades e malware, usando dados de mais de 600 milhões de computadores espalhados pelo mundo.

Para acessá-lo, clique aqui.

Microsoft corrige falha crítica no Internet Explorer - Patch Tuesday

A tradicional Patch Tuesday da Microsoft para o mês de julho abordará sete questões de segurança, seis das quais poderiam ser exploradas remotamente por um invasor.

A empresa publicou um aviso com antecedência sobre a data das correções, que acontecem na segunda terça-feira de cada mês, para que administradores se informem sobre quais produtos serão afetados. No entanto, tal aviso não descreve as vulnerabilidades até que suas respectivas correções sejam liberadas.

As vulnerabilidades críticas estão no Windows OS, .NET Framework, Silverlight, Office, Visual Studio, Lync e Internet Explorer (IE). Um sétimo boletim, classificado como "importante", afeta o software de segurança Windows Defender.

O boletim de segurança mais importante inclui o IE, escreveu o CTO da Qualys, Wolfgang Kandek. Ela afeta as versões 6 a 10 do browser no Windows XP, Vista, 7, 8, Server 2003, Server 2008 e RT.

A Microsoft também irá corrigir uma vulnerabilidade 0-day apresentada pelo pesquisador de segurança Tavis Ormandy, escreveu Kandek. A falha é relativa a um problema de gerenciamento de memória que é essencialmente uma vulnerabilidade 0-day depois de um exploit ser adicionado ao kit de exploração Metasploit, disse Kandek.

A companhia descreveu a vulnerabilidade CVE-2013-3660 como "um problema conhecido publicamente do componente no kernel do Windows."

Kandek escreveu que a Patch Tuesday dará um pouco de trabalho para os administradores de desktop e servidores. "No geral, é uma Patch Tuesday de tamanho normal, mas com um grande número de questões críticas", escreveu.

Os boletins serão liberados na terça-feira pela manhã.

Atualizações de segurança do Windows

A Microsoft liberou na última terça-feira (08/11) quatro atulaizações de segurança, sendo que três delas são voltadas para o Windows. Das quatro atualizações, uma foi classificada como crítica, duas como importantes e a outra como moderada.

Porém, das atualizações liberadas, nenhuma corrige a falha de segurança explorada pelo vírus Duqu, visto como uma variante do Stuxnet. Por outro lado, corrigiu a falha nas fontes True Type, já explorada por outras ameaças.

A atualização mais importante, segundo a empresa, é a MS10-083, que diz respeito a ferramentas que regulam as conexões à internet. Ela também se aplicada ao sistema operacional Windows 2008, voltado ao mercado corporativo.

Em relação ao Duqu, a Microsoft alega que os softwares antivírus já são capazes de identificá-los. A lista atualizada dos programas encontra-se no Technet.

Esse foi o "Patch Tuesday" do mês de novembro/2011. Vale lembrar que é sempre importante manter os sistemas atualizados, evitando assim as brechas de segurança e sua possível exploração por ameaças.

Recompensa por bugs

A Microsoft lançou hoje um concurso que irá premiar com 250 mil dólares, os pesquisadores que desenvolverem tecnologias de segurança que lidem com classes inteiras de vulnerabilidades (exploits).

O valor da premiação, nomeada de "BlueHat Prize", supera de longe o valor de prêmios pagos por seus concorrentes, como o Google, que paga por informações sobre bugs em seu navegador, o Google Chrome, que neste ano premiou com pouco mais de 110 mil dólares.

A Microsoft alega que essa competição é um estímulo para incentivar o esforço do cérebro dos pesquisadores a irem além de “uma vulnerabilidade aqui e um bug ali”. “Queremos tornar mais custoso e difícil para os criminosos explorarem as vulnerabilidades”, disse a estrategista sênior de segurança da Microsoft, Katie Moussouris.

Com essa iniciativa, que foi muito elogiada por Andrew Storms, diretor de operações de segurança da nCircle Security, a Microsoft muda uma das políticas da empresa, que antes alegava não ter o menor interesse nesse tipo de premiação.

Acredito que com essa iniciativa, a Microsoft começa a ceder para o esforço comunitário, onde pessoas poderão contribuir para aumentar a segurança do sistema operacional Windows e outros softwares desenvolvidos pela Microsoft.

Autorun Malware - Ainda existem?

Desde 08/02/2011, a Microsoft iniciou o lançamento de atualizações para as plataformas Windows XP e Windows Vista, para tornar a funcionalidade "Autorun" mais segura previnindo a função de "Autoplay" de ser habilitada automaticamente (exceto para "shiny media" para CDs e DVDs).

Mas como estamos hoje em relação a essa ameaça? Qual a evolução da segurança para previnir ameaças que exploram essa brecha? Vamos dar uma olhada agora nesse histórico para podermos obter as repostas procuradas.

No ano de 2010 tivemos o maior índice crescente de ameaças que se utilizaram da funcionalidade "Autorun" para se propagar no mundo. Os top ofensores foram: Taterf, Rimecud, Conficker e Autorun.

O gráfico acima foi elaborado pela Microsoft e mostra o total de detecções ocorridas em 2010 em computadores utilizando uma ferramenta MMPC (Microsoft Malware Protection Center).

De fato, esse tipo de detecção caiu drasticamente após o lançamento de atualizações para Windows XP e Windows Vista, 59% e 74% respectivamente, em comparação aos números de 2010. O gráfico abaixo mostra a evolução após o lançamento do Service Pack 3 para Windows XP e dos Service Packs 1 e 2 para Windows Vista:

Os números começaram a diminuir após o lançamento das atualizações, em maio de 2011. Em números, estamos falando de 1.3 milhões de detecções a menos.

Algumas pessoas ainda assim se perguntam: "Porque esses números então não foram reduzidos a zero?!" A resposta é tão simples quanto: Esse tipo de ameaça utiliza diversas vertentes para propagação: Se replicam por compartilhamentos de redes, senhas fracas em compartilhamentos, tentam explorar velhas vulnerabilidades na esperança de que estas não tenham a sua devida correção aplicada, pegam "carona" em outros tipos de malware (downloaders e droppers) e claro, a velha e boa engenharia social.

Vale lembrar também que as ferramentas de segurança evoluiram: anti-malware, sistemas de IPS/IDS, entre outros. Hoje em dia já é possível se criar regras customizadas em tais sistemas, no intuito de detectar e bloquear arquivos maliciosos que tentem inserir um autorun.inf no sistema.

A tendência é que esse número seja reduzido cada vez mais com a evolução das pesquisas de segurança. Por outro lado, existe a evolução do malware também, que se aperfeiçoa contra as ferramentas de detecção. Uma coisa é certa: "A batalha não tem fim!!!"

Microsoft - Boletim de Segurança Junho/2011

Saiu a lista da Microsoft com os boletins de segurança do mês de Junho/2011.

São 16 boletins, que variam entre severidade "crítica" e "importante".

Os boletins são os seguintes:

• MS11-037: Vulnerability in MHTML Could Allow Information Disclosure (2544893) 
• MS11-038: Vulnerability in OLE Automation Could Allow Remote Code Execution (2476490).
• MS11-039: Vulnerability in .NET Framework and Microsoft Silverlight Could Allow Remote Code Execution (2514842) 
• MS11-040: Vulnerability in Threat Management Gateway Firewall Client Could Allow Remote Code Execution (2520426) 
• MS11-041: Vulnerability in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2525694) 
• MS11-042: Vulnerabilities in Distributed File System Could Allow Remote Code Execution (2535512) 
• MS11-043: Vulnerability in SMB Client Could Allow Remote Code Execution (2536276) 
• MS11-044: Vulnerability in .NET Framework Could Allow Remote Code Execution (2538814) 
• MS11-045: Vulnerabilities in Microsoft Excel Could Allow Remote Code Execution (2537146) 
• MS11-046: Vulnerability in Ancillary Function Driver Could Allow Elevation of Privilege (2503665) 
• MS11-047: Vulnerability in Hyper-V Could Allow Denial of Service (2525835) 
• MS11-048: Vulnerability in SMB Server Could Allow Denial of Service (2536275) 
• MS11-049: Vulnerability in the Microsoft XML Editor Could Allow Information Disclosure (2543893) 
• MS11-050: Cumulative Security Update for Internet Explorer (2530548)
• MS11-051: Vulnerability in Active Directory Certificate Services Web Enrollment Could Allow Elevation of Privilege (2518295) 
• MS11-052: Vulnerability in Vector Markup Language Could Allow Remote Code Execution (2544521) 

Um aumento significativo em relação a Maio/2011, quando tivemos apenas 2 boletins.

Para ver o boletim completo do mês de Junho/2011, e seus detalhes, acesse o Microsoft Security Bulletin Summary for June 2011.

Hotmail vítima de ataque "0-day"

A própria Microsoft foi vítima de suas vulnerabilidades!! Isso é no mínimo alarmante...

Uma vulnerabilidade de "0-day", encontrada no serviço de webmail da Microsoft, o Hotmail, permite que dados confidenciais sejam enviados a hackers, assim como o foward de mensagens recebidas pelo PC infectado.

Funciona da seguinte maneira: Basta que o usuário receba a mensagem e abra para VISUALIZAÇÃO! Isso mesmo, apenas visualizar! Não é necessário executar nenhum arquivo, nem clicar em algum link. Ao abrir a mensagem, um script é executado automaticamente. Esse script permite o roubo de informações possivelmente confidenciais, assim como o roubo do catálogo de contatos da vítima.

O scritp em questão se conecta ao endereço: http://www.{BLOCKED}eofpublic.com/Microsoft.MSN.hotmail/mail/rdm/rdm.asp?a={user account name}{number} e faz o download de um novo script.

A URL contém duas variáveis, o que deixa uma certa certeza que o ataque é direcionado: a variável {user account name}, que é o Hotmail ID do usuário, e a variável {number}, que é o script malicioso que será executado no momento.

O ataque em questão explora uma vulnerabilidade de script ou o mecanismo de filtro CSS. A vulnerabilidade pode ser pesquisada através do CVE-2011-1252. A Microsoft afirma já estar ciente do caso e que a ação já foi executada para remediar a vulnerabilidade.

Em breve o CVE será publicado!