Vulnerabilidad 0day en Internet Explorer

'La vulnerabilidad está provocada por un error del tipo "usar después de liberar" (Use-after-free) en la librería "mshtml.dll", cuando se procesa una página web que hace referencia a un fichero CSS que incluye varias reglas "@import".

Hay exploits públicos que explotan esta vulnerabilidad, que evitan las medidas de seguridad DEP y ASLR y no necesitan que se encuentren instalados otros programas o extensiones de terceros.

Impacto:

Al visitar una página web maliciosa, se podrían ejecutar programas en la máquina infectada para, entre otras cosas, controlarla remotamente.'

'Solución

Hasta que salga una actualización de seguridad que solucione el problema, en la medida de lo posible, se aconseja trata de evitar visitar páginas web que no sean de confianza, o utilizar algún otro navegador que no esté afectado por esta vulnerabilidad.'

Fuente y noticia completa: INTECO 22/12/2010

Microsoft cierra el año con 17 boletines de seguridad

'Este martes Microsoft ha publicado 17 boletines de seguridad (del MS10-090 al MS10-106) correspondientes a su ciclo habitual de actualizaciones.' [...] 'En total se han resuelto 35 vulnerabilidades.'

'Entre los boletines publicados cabe destacar una actualización acumulativa para Internet Explorer que además corrige siete nuevas vulnerabilidades. También se han corregido todos los problemas que
aprovechaba Stuxnet, el malware que en los últimos meses tanto dio que hablar y del que ya efectuamos un profundo repaso en una-al-dia:
http://www.hispasec.com/unaaldia/4382
http://www.hispasec.com/unaaldia/4383
http://www.hispasec.com/unaaldia/4384

Y también se han centrado en la corrección del fallo de la carga de librerías, anunciado en agosto por HD Moore y que afectaba a múltiples aplicaciones, y que también fue tratado detalladamente por Hispasec:
http://www.hispasec.com/unaaldia/4322 '

[ ...] 'Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible'

Fuente y noticia completa: Una al día de Hispasec de 16/!2/2010

Entradas relacionadas:

• [25/08/2010] Microsoft confirma un grave problema de seguridad "compartido" con cientos de aplicaciones de terceros (Hispasec)
• [31/08/2010] Más sobre las vulnerabilidades de rutas de DLL en aplicaciones sobre Windows (entrada nuestra)
  
• [05/11/2010] Nueva vulnerabilidad de Microsoft Internet Explorer explotada activamente y sin parche disponible por el momento (entrada nuestra)
  
• [15/12/2010] 0day en Internet Explorer, que estaba siendo aprovechado en Internet, con parche ya disponible (INTECO)

0day en Internet Explorer, que estaba siendo aprovechado en Internet, con parche ya disponible

'Microsoft está investigando una vulnerabilidad 0day que afecta a todas las versiones de Internet Explorer. El principal impacto de la vulnerabilidad es la ejecución remota de código. Dicha vulnerabilidad existe debido a una referencia no válida de una bandera en Internet Explorer.' [...]

[...] 'Esta vulnerabilidad está siendo utilizada activamente por atacantes para comprometer equipos mediante el envío de correos con URLs dañinas o bien comprometiendo servidores web legítimos (como ha sido el caso de la web de Amnistía Internacional de Hong Kong ). El exploit para tal vulnerabilidad ha sido incluido en el Kit comercial de explotación Eleonore Exploit Pack y en el framework Metasploit lo que facilita en gran media su utilización por gente no experimentada. ' [...]

Fuente: INTECO 10/11/2010

[ ...] 'Hemos publicado MS10-090 para resolver esta incidenica. Para más iniformación acerca de la incidencia, incluyendo enlacees de descarga de las actualizaciones de seguridad disponibels, por favor, revise MS10-090. La vulnerabilidad resuelta es la "Uninitialized Memory Corruption Vulnerability" - CVE-2010-3962.'

Fuente y noticia completa: Microsoft Security Advisory (2458511) v2.0 14/11/2010

Attachmate controlará los derechos de Unix de Novell

'La confirmación, comunicada en un lacónico mensaje publicado en el website de Novell, despeja los rumores que han estado circulando en los últimos días sobre la posibilidad de que los activos de Unix formen parte de las 882 patentes que se venderán al consorcio liderado por Microsoft, CPTN Holdings, dentro de la operación de compra emprendida por Attachmate. “Novell, que tras la fusión operará como subsidiaria de Attachmate, seguirá teniendo en propiedad los copyrights de Unix”, se asegura en el mensaje.'

'El pasado marzo, el Tribunal de Distrito de Utah confirmó a Novell como propietario legal de los copyrights sobre Unix, finalizando así una batalla legal entre la compañía y SCO que duraba ya siete años. Microsoft aseguró en su momento que varios bits de su propiedad intelectual estaban embebidos en Linux, una versión del kernel del sistema operativo Unix, aunque en ningún momento dio a conocer de qué código en concreto se trataba. Para resolver la disputa, Novell firmó un acuerdo a cinco años con Microsoft para indemnizar a los usuarios de su sistema operativo basado en Linux ante potenciales acciones legales de la firma de Windows.'

Fuente y noticia completa: ComputerWorld 25/11/2010

Entradas relacionadas:

• [23/11/2010] Attachmate y un consorcio liderado por Microsoft compran Novell por 2.650 millones de dólares

Attachmate y un consorcio liderado por Microsoft compran Novell por 2.650 millones de dólares

Novell, la compañía de software de sistemas operativos de redes, como Novell Netware y SuSE Linux (junto con Novell Linux Desktop ) y poseedora de algunos "copyrights" históricos de UNIX ha llegado a un acuerdo con Attachmate, fabricante de software de emulación de terminal y productos de red y propiedad de un grupo de inversores formado por Francisco Partners, Golden Gate Capital y Thoma Bravo, por 2.200 millones de dólares para que esta compañía se haga con la mayor parte de los activos de Novell, en especial, SuSE Linux. Attachmate contempla dividir los activos adquiridos de Novell en dos unidades de negocio, Novell y SUSE Linux.

Además Novell ha acordado la venta de algunos activos de propiedad intelectual (parece ser que patentes y no los derechos de Unix que Novel posee) a un consorcio liderado por Microsoft conocido como CPTN Holdings por 450 millones de dólares.

Nueva vulnerabilidad de Microsoft Internet Explorer explotada activamente y sin parche disponible por el momento

Microsoft ha anunciado un aviso de seguridad en el que informa de una vulnerabilidad descubierta recientemente en el navegador Internet Explorer en todas sus versiones con soporte. Esta vulnerabiliad, que reside en el tratamiento de las hojas de estilo CSS, permite la ejecución remota de código arbitrario mediante el uso de un exploit que no sólo se encuentra disponible (por tanto, se trata de una vulnerabilidad 0-day) sino que ya se está utilizando para alojar en sitios web de Internet páginas maliciosamente preparadas que al ser procesadas por un Internet Explorer vulnerable provocan la ejecución de un programa de intenciones normalmente maliciosas (como por ejempllo la instalación de un malware en el sistema operativo Windows desde el que se navega).

Por poner un ejemplo, se tiene constancia expresa de correos electrónicos que se han enviado intencionadamente con enlaces a páginas web de este tipo, que provocan la instalación de un malware del tipo "troyano" a su vez del tipo "Command and control" [C&C], es decir, de los que se conectan periódicamente a sitios elegidos de internet para recibir instrucciones sobre cómo actuar en cada momento o, lo que es lo mismo, troyanos que permiten en la práctica el control remoto completo del equipo (y su entorno accesible) sin necesidad de tener acceso directo al equipo.

Microsoft está desarrollando las actualizaciones necesarias para corregir este problema. Mientras tanto recomienda como contramedidas: anular el procesamiento de hojas de estilo CSS procedentes de Internet definiendo una de usuario aplicable siempre (alterando por tanto el aspecto de la inmensa mayoría de las páginas de Internet así como en muchos casos su funcionamiento útil ), fijar las zonas de seguridad del navegador a un nivel Alto (con lo que aplicaciones, especialmente las de la Intranet, basadas en tecnología ActiveX pueden dejar de funcionar) habilitar DEP en el caso de IE 7 o desplegar EMET.


Entradas relacionadas:

• [08/07/2009] Nuevo ataque vía navegación web que aprovecha una vulnerabilidad de Windows XP y 2003 sin parche disponible
• [22/01/2010] Microsoft publica un parche en día no habitual [para corregir la vulnerabilidad de ejecución remota en Internet Explorer]
• [10/03/2010] Nuevo 0-day [vulnerabilidad explotada sin parche disponible] en Microsoft Internet Explorer (Hispasec)
• [06/04/2010] Microsoft publica actualización para Internet Explorer fuera de ciclo
• [29/10/2010] 0-day en el navegador Mozilla Firefox explotado activamente. Actualización de seguridad que corrige la vulnerabilidad ya disponible

Microsoft prepara Windows 8 para 2012

'La próxima versión del sistema operativo de Microsoft, Windows 8, está ya en desarrollo y saldrá al mercado dentro de los próximos dos años, tal y como se ha publicado en el blog de la filial holandesa de la compañía.'

Fuente y noticia completa: Computer World 25/10/2010

Microsoft podría comprar Adobe

'El CEO de Microsoft, Steve Ballmer, y el de Adobe, Shantanu Narayen, han mantenido una reunión que ha desatado todo tipo de rumores, desde una posible alianza para plantar cara a Apple en el mercado de la movilidad, hasta una posible intención de compra de Adobe por parte de Microsoft. Por el momento, ninguna de las dos firmas ha querido pronunciarse al respecto. '

Fuente y noticia completa: ComputerWorld 8/10/2010

Más sobre las vulnerabilidades de rutas de DLL en aplicaciones sobre Windows

No para de aumentar la lista de programas informáticos -algunos de ellos muy populares- que sufren vulnerabilidadas con métodos públicos de aprovechamiento ("exploits") ya públicamente disponibles -algunos de uso sencillo al ser incluidos en la conocida herramienta Metasploit- donde las vulnerabilidades están relacionadas con el problema del orden de búsqueda de librerías (o ficheros de biblioteca) dinámicas (DLL) en Windows, en especial con que el "directorio actual" esté incluido en el orden de búsqueda de Windows (el directorio actual de una aplicación suele ir cambiando, por ejemplo, cuando se va explorando con la respectiva ventana de "abrir ficheros" de la aplicación) y la aplicación contenga fallos -lamentablemente muy habituales- como del tipo de intentar cargar una librería propia que ya no necesita realmente y ya no existe o no instala.

Los exploits y mecanismos de ataques son tan simples como depositar un fichero DLL normal (con la funcionalidad maliciosa deseada, generalmente instalar malware) en un recurso externo (disco USB, recurso de red ,etc) que tenga el nombre de una de las librerías mal programadas para ser cargadas en una de las aplicaciones vulnerables y esperar a que desde dicha aplicación se abra o "vaya" a ese directorio. Nótese que en especial no se requiere construir ningún fichero con contenido complejo hábilmente preparado como suele ser habitual en exploits de otras vulnerabilidades.

Ante la explosión de exploits disponibles de cada vez más aplicaciones muy conocidas y para mitigar la proliferación de instalación de malware vía esta familia de vulnerabilidades, Microsoft ha publicado una actualización cuya instalación define un nuevo parámetro de configuración de Windows que permite eliminar el directorio actual del camino de búsqueda o restringir su uso, si bien , esta contramedida está suponiendo problemas colaterales en muchas aplicaciones, algunas de Microsoft, tal y como podemos leer en los siguientes extractos traducidos de la noticia de ISC de SANS y comentarios de lectores:


'Las DLLs más importantes se especifican en una rama del registro (HKLM/System/CurrentControlSet/Control/Session Manager/KnownDLLs). Aquí la situación es sencila – si una aplicación necesita cargarla, el sistema sabe que tiene que ser desde el directorio especificado en la clave de registro DllDirectory, que suele valer %SystemRoot%/system32.

Sin embargo, en otros casos, el sistema intenta dinámicamente buscar la DLL. Al principio, Microsoft cometió un error al colocar el directorio actual en el primer lugar de búsqueda (algunos de los antiguos conocedores de Unix recordarán los tiempos cuando "." estaba en el primer lugar de la variable PATH). Microsoft corrigió esto con la introducción del valor del registro SafeDllSearchMode setting (registry value) que espeficica el orden en que una DLL debe buscarse. Por ejemplo, tal y como se especifica en http://msdn.microsoft.com/en-us/library/ms682586%28v=VS.85%29.aspx el orden de búsqueda con SafeDllSearchMode habilitado:

1. El directorio desde el que se abre la aplicación
2. El directorio de sistema.' [...]
3. 'El directorio de sistema de 16-bit ' [...]
4. 'El directorio de Windows' [...]
5. 'El directorio actual
6. Los directorios especificados en la variable de ambiente PATH. ' [...]

Si varios directorios contiene una DLL con el mismo nombre, el primer ajuste según el order anterior gana. Este ajuste viene establecido por defecto ya en Windows XP SP2.

El problema aparece, por ejemplo, cuando una aplicación intenta cargar una DLL que no existe en el sistema' [..]

'Microsoft ha publicado varios artículos describiendo los detalles de esta vulnrabilidad a la par que describiendo varias contramedidas ["workarounds"]. El boletín principal de seguridad está disponible aquí (2269637).' [..]' También ha publicaod una herramienta que permite crear listas negras de directorios para que no sean utilizados en la carga de librerías. Más información aquí y sobre la herramienta en sí aquí. La herramienta añade un nuevo valor de registro denominado CWDIllegailInDllSearch. '


'[...] si [CWDIllegailInDllSearch] se establece a 0xFFFFFFFF, el directorio actual de ejecuón ya no está en los caminos de búsqueda'

'Hemos establecido CWDIllegalInDllSearchValue=ffffffff en CurrentControlSet y Outlook ya no nos funciona. Tampoco Sendto en Word, Excel, Powerpoint,' [...] 'Añadiendo el path "C:\Program Files\Common Files\System\Mapi33 " a
"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\winword.exe", ...excel.exe", ...
ya funcionan'


El valor , menos radical que la supresión completa del directorio actual de la ruta en todas las circunstancias, que se está recomendando para el nuevo parámetro CWDIllegailInDllSearch es 0x00000002 ya que bloquea la búsqueda de librerías dinámicas en recursos remotos para las aplicaciones que se han iniciado desde las unidades de disco locales, sirviendo por tanto en principio de protección si se combina esta medida con la de nunca iniciar una aplicación cuyo ejecutable esté en recurso remoto, pero establecer este valor parece que también está generando problemas para ciertas aplicaciones.


Entradas relacionadas:

• [25/08/2010] Microsoft confirma un grave problema de seguridad "compartido" con cientos de aplicaciones de terceros (Hispasec)
  

Microsoft confirma un grave problema de seguridad "compartido" con cientos de aplicaciones de terceros

'HD Moore, líder del proyecto Metasploit, destapaba hace algunos días un problema de seguridad en decenas de aplicaciones de terceros cuando eran ejecutadas sobre Windows. Aunque la raíz del problema es, en realidad, una programación insegura de las aplicaciones, dada la magnitud del problema Microsoft ha publicado un aviso de seguridad con instrucciones para mitigar el fallo.

Moore identificaba el fallo mientras estaba investigando el grave problema en archivos LNK que fue conocido en Windows hace algunos días. A su vez Acros, una compañía de seguridad eslovena, hablaba de una vulnerabilidad en iTunes por la que, si se abría un archivo asociado a iTunes desde una ubicación remota, iTunes podría llegar a cargar más DLLs desde esa ubicación. HD Moore comenzó a buscar más aplicaciones que se comportasen de este modo.

Así, el problema está en múltiples aplicaciones de terceros (y propias) para Windows a la hora de cargar librerías dinámicas (archivos DLL). Si las aplicaciones no especifican las rutas completas de las librerías que necesitan, Windows podría llegar, en su búsqueda, a "encontrar" primero las librerías de los atacantes y ejecutarlas. Al principio Moore identificó unas cuarenta aplicaciones, pero en estos momentos se conocen cientos. El número, además, será mayor con el tiempo.

Todas estas herramientas no han seguido ciertas recomendaciones de seguridad a la hora de ser programadas. Por tanto, un atacante podría llegar a ejecutar código si incita al usuario a abrir con una aplicación vulnerable un archivo desde una ubicación remota (compartida a través de WebDAV, SMB) o incluso una llave USB. La novedad es que el archivo abierto no tiene por qué contener ningún exploit. La única condición es que el atacante pueda escribir una librería en la misma ruta donde se encuentra el archivo que se quiere abrir, y el programa vulnerable se encargará de cargarla.

Este tipo de ataques son denominados "binary planting", "DLL preloading" o "DLL Hijacking" y pueden verse como una nueva variante de los ataques de ruta (PATH): a no ser que se especifique exactamente la ruta de los binarios, no se sabe qué se está ejecutando; bien porque exista un archivo con un mismo nombre en un directorio, bien porque se encuentre en el PATH de sistema o, como en este caso, bien porque la aplicación llame a DLLs que no son las legítimas.

Windows arrastró este histórico error durante mucho tiempo. Pero una de las (muchas) mejoras de seguridad introducidas desde Windows XP SP1, es que por defecto, se mejora el orden de la búsqueda de librerías con el parámetro SafeDllSearchMode activado... pero el problema se da cuando las librerías no existen en el sistema y no se especifica ruta completa... el programa va a buscarlas en remoto y el atacante podría cargar así las que quisiera.

Microsoft ha creado una guía de buenas prácticas para programadores y sobre cómo cargar de forma segura librerías dinámicas, disponible desde:
http://msdn.microsoft.com/en-us/library/ff919712(VS.85).aspx

El problema es muy grave, puesto que resulta utópico creer que el increíble número de aplicaciones vulnerables solucionarán este fallo en un periodo de tiempo razonable. Así que Microsoft anuncia contramedidas para mitigar el fallo. No se trata de una solución en forma de parche, puesto que bloquear por completo un comportamiento adquirido durante años por los programadores, solo podría causar problemas. De hecho, la introducción de SafeDllSearchMode hace 8 años "ya" podría considerarse como la solución. En todo caso, en el aviso se dan instrucciones precisas a los administradores para deshabilitar la carga insegura de librerías por aplicación o globalmente. También se recomienda, si no es necesario, detener el servicio "Cliente web" del sistema.

Por su parte, HD Moore ha publicado una herramienta para determinar si una aplicación hace uso de este tipo de técnicas y, por tanto, es susceptible de ser usada como vector de ataque. En estos momentos, están apareciendo aplicaciones vulnerables por decenas.

Además, varios programas propios de Microsoft son también vulnerables, como Office, Mail...

Ya están apareciendo exploits públicos que permiten aprovechar el fallo con todo tipo de aplicaciones, por ejemplo, al abrir un inocente archivo Office desde una unidad remota.'

Fuente y noticia completa: Hispasec 24/08/2010

Entradas relacionadas:

• [18/07/2010] Nueva vulnerabilidad de Windows peligrosa, ya aprovechada y sin parche disponible (entrada nuestra)
• [22/07/2010] Más sobre la grave vulnerabilidad de Windows: exploits públicos y contramedidas (Entrada nuestra)
• [27/07/2010] Nuevo malware explotando la vulnerabilidad sin parche disponible de los accesos directos (.LNK) de Windows ( Softpedia)
• [02/08/2010] Microsoft anuncia la disponibilidad del parche que arregla la vulnerabilidad LNK para este Lunes (SANS)

Microsoft libera el parche para la vulnerabilidad de los accesos directos. No incluye a Windows 2000 ni Windows XP Service Pack 2

Tal y como ya había anunciado y ante la proliferación de familias de "malware" aprovechándose de la vulnerabilidad para propagarse, Microsoft acaba de emitir un boletín de seguridad fuera de ciclo normal (los segundos martes de cada mes) que incluye las respectivas actualizaciones que corrigen el fallo de seguridad ("parches") en todos los sistemas operativos con soporte en la actualidad, es decir, Windows XP Service Pack 3, XP Professional x64 Edition Service Pack 2, Server 2003 Service Pack 2, Vista Service Pack 1 y Service Pack 2, Server 2008 sin Service Pack, R2 y Service Pack 2 y Windows 7.

Nótese que en especial, dado que su soporte por parte de Microsoft finalizó el pasado 13/07/2010, Microsoft no ha proporcionado "parches" para Windows XP Service Pack 2 ni Windows 2000, lo que hace más recomendable si cabe todavía la instalación y despliegue de Service Pack 3 para Windows XP -si es que sigue pendiente- y la migración o protección especial de los equipos con Windows 2000.

Para los que no instalen o no puedan instalar el parche, Microsoft mantiene la misma lista de contramedidas ("workarounds") que había recomendado hasta ahora:

• deshabilitar la visualización de los iconos de los accesos directos y ficheros PIF poniendo en blanco el valor predeterminado (default) de la ramas del registro:
  HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
  HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
  
  Microsoft publicó una herramienta, Microsoft Fix it 50486, que realiza esa operación, así como la correspondiente herramienta para revertirla cuando el parche esté disponible.
  
  Nótese que esta contramedida evita la explotación del fallo pero afecta a la usabilidad al dejar todos los iconos del escritorio y explorador en blanco, incluyendo los del Menú Inicio y la Barra de Tareas.
  
  
• Detener y deshabilitar el servicio "Cliente Web" o WebClient . Nótese que al hacerlo ya no se podrá acceder desde Internet Explorer a los compartidos WebDAV ni ejecutar otros servicios que dependan de éste.
  
  
• Bloquear la descarga de ficheros LNK y PIF desde Internet y el acceso a recursos compartidos de Windows (SMB) externos con herramientas de filtro de contenidos y cortafuegos adecuadas
  

A estas contramedidas recomendadas por Microsoft habría que añadir las que Didier Stevens publicó basadas en las "Políticas de Restricción de Software" de Windows.

Entradas relacionadas:

• [13/07/2010] Fin de soporte de Windows 2000 y Windows XP Service Pack 2 (entrada nuestra)
• [18/07/2010] Nueva vulnerabilidad de Windows peligrosa, ya aprovechada y sin parche disponible (entrada nuestra)
• [20/07/2010] SANS: Nivel amarillo de alerta para la seguridad de Internet por la vulnerabilidad de Windows (SANS)
• [22/07/2010] Más sobre la grave vulnerabilidad de Windows: exploits públicos y contramedidas (Entrada nuestra)
• [27/07/2010] Nuevo malware explotando la vulnerabilidad sin parche disponible de los accesos directos (.LNK) de Windows ( Softpedia)
• [02/08/2010] Microsoft anuncia la disponibilidad del parche que arregla la vulnerabilidad LNK para este Lunes (SANS)
  

Microsoft anuncia la disponibilidad del parche que arregla la vulnerabilidad LNK para este Lunes

'Microsoft tiene planeado liberar un parche fuera de ciclo para la vulnerabilidad de "los accesos directos". Está previsto que libere el parche el Lunes 2 de Agosto a las 10 AM PDT [19:00 hora española].

Tal y como ha confirmado Microsoft, varias familias de "malware" han incorporado la vulnerabilidad en su repertorio de explotaciones. Para más detalle, ver la entada del blog de Microsoft Technet blog. [1]

[1] http://blogs.technet.com/b/msrc/archive/2010/07/29/out-of-band-release-to-address-microsoft-security-advisory-2286198.aspx

'

Fuente y original en inglés: ISC de SANS 30/07/2010

Traducción nuestra

Entradas relacionadas:

• [13/07/2010] Fin de soporte de Windows 2000 y Windows XP Service Pack 2 (entrada nuestra)
• [18/07/2010] Nueva vulnerabilidad de Windows peligrosa, ya aprovechada y sin parche disponible (entrada nuestra)
• [20/07/2010] SANS: Nivel amarillo de alerta para la seguridad de Internet por la vulnerabilidad de Windows (SANS)
• [22/07/2010] Más sobre la grave vulnerabilidad de Windows: exploits públicos y contramedidas (Entrada nuestra)
• [27/07/2010] Nuevo malware explotando la vulnerabilidad sin parche disponible de los accesos directos (.LNK) de Windows ( Softpedia)

Nuevo malware explotando la vulnerabilidad sin parche disponible de los accesos directos (.LNK) de Windows

'El software malicioso distribuido por las redes está evolucionando con nuevas capacidades diseñadas para explotar la vulnerabilidad crítica sin parche disponible ("0 day") que afecta a todas las versiones con soporte de Windows' [...] 'Según la información proporcionada por la compañía con base en Redmond [Microsoft], Win32/Vobfus y Chymine son los últimos ejemplos de familias de "malware" que incluyen "exploits" de un fallo crítico del componente Windows Shell, fallo que permite al software malicioso infectar equipos vulnerabiles mediante ficheros .LNK y .PIF anómalos. Con anterioridad, Microsoft había revelado que la famlia de malware Stuxnet era laúnica que se estaba propagando mediante el agujero de seguridad de los accesos directos de Windows.'


'Microsoft avisa que la inclusión de exploits contra esta vulnerabilidad constituirá cadavez más una parte esencial del panorama de ataques. La compañía de Redmond todavía tiene que realizar una actualización de seguridad que corrija esta vulnerabilidad y, por consiguiente, mientras los equipos con Windows están expuestos a ataques y constituyen blancos fáciles. Los usuarios deberían aplicar las contramedidas descritas en este Boletín de Seguridad para defenderse de potenciales ataques'

Fuente y noticia completa original en inglés: Softpedia 26/07/2010
Traducción nuestra

Entradas relacionadas:

• [13/07/2010] Fin de soporte de Windows 2000 y Windows XP Service Pack 2 (entrada nuestra)
• [18/07/2010] Nueva vulnerabilidad de Windows peligrosa, ya aprovechada y sin parche disponible (entrada nuestra)
• [20/07/2010] SANS: Nivel amarillo de alerta para la seguridad de Internet por la vulnerabilidad de Windows (SANS)
• [22/07/2010] Más sobre la grave vulnerabilidad de Windows: exploits públicos y contramedidas (Entrada nuestra)
  

Más sobre la grave vulnerabilidad de Windows: exploits públicos y contramedidas

Microsoft ha actualizado su boletín de seguridad sobre la ya famosa nueva y grave vulnerabilidad de Windows (del componente Windows Shell en concreto) de la que ya era conocido existían métodos de ataque ("exploits") que se aprovechan del fallo utilizando ficheros de acceso directo (.LNK) maliciosamente preparados en discos, compartidos de red y de web (WebDaV), simplemente abriendo con el Explorador de Windows o Internet Explorer una carpeta que contenga el fichero LNK.

Ya se ha divulgado públicamente por Internet el código fuente de un "exploit" que ha sido integrado en la herramienta de software libre de comprobación explícita de posibilidad de intrusiones ("penetration testing") Metasploit.

Ahora Microsoft añade que la vulnerabilidad puede explotarse de similar forma utilizando ficheros .PIF y además que la posibilidad de explotación no se limita a ficheros en carpetas sino que se extiende también a documentos como documentos de Office, páginas web y correos electrónicos , documentos que tienen la posibilidad de incrustar accesos directos y otros tipos de objetos relacionados.

Para darse cuenta del nivel de riesgo sólo hay que pensar en la situación de una organización y un fichero malicioso que consiga ser depositado en un compartido de red (o de web WebDav, algo menos frecuente) que utilicen habitualmente un grupo muy importante de sus puestos, que estos puestos sean vulnerables o no tengan implementada una contramedida suficiente y que el ejecutable del fichero malicioso no sea detectado por el anvitirus corporativo (por ejemplo, porque es muy reciente): la infección sería generalizada en la organización en un plazo muy corto de tiempo.

Precisamente, Microsoft ha modificado también la lista de contramedidas ("workarounds") a la espera de que publique el parche que permita solucionar el problema definitivamente en los Windows con soporte:

• deshabilitar la visualización de los iconos de los accesos directos y ficheros PIF poniendo en blanco el valor predeterminado (default) de la ramas del registro:
  HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
  HKEY_CLASSES_ROOT\piffile\shellex\IconHandler
  
  Microsoft ha publicado una herramienta, Microsoft Fix it 50486, que realiza esa operación, así como la correspondiente herramienta para revertirla cuando el parche esté disponible. Nótese que tras esta contramedida también cambia el aspecto del Menú Inicio y la Barra de Tareas al contener iconos de accesos directos.
  
  
• Detener y deshabilitar el servicio "Cliente Web" o WebClient . Nótese que al hacerlo ya no se podrá acceder desde Internet Explorer a los compartidos WebDAV.
  
  
• Bloquear la descarga de ficheros LNK y PIF desde Internet con herramientas de filtro de contenidos adecuadas

A estas contramedidas recomendadas por Microsoft habría que añadir las que Didier Stevens ha publicado basadas en las "Políticas de Restricción de Software" de Windows.

Entradas relacionadas:

• [13/07/2010] Fin de soporte de Windows 2000 y Windows XP Service Pack 2 (entrada nuestra)
• [18/07/2010] Nueva vulnerabilidad de Windows peligrosa, ya aprovechada y sin parche disponible (entrada nuestra)
• [20/07/2010] SANS: Nivel amarillo de alerta para la seguridad de Internet por la vulnerabilidad de Windows (SANS)
  

Nueva vulnerabilidad de Windows peligrosa, ya aprovechada y sin parche disponible

Tal y como detalla Hispasec en su último "Una al día", la investigación de un nuevo, sofitsticado y "peligroso" ataque contra sistemas informáticos empresariales ha revelado la existencia de una vulnerabilidad previamente desconocida de Microsoft Windows y una forma peligrosa de aprovecharla que algunos han calificado de "nuevo método revolucionario" para lograr ejecutar malware arbitrario al abrir con Explorer de Windows una memoria USB extraíble o un compartido de red independientemente de que se hayan tomado todas las medidas oportunas conocidas hasta el momento para impedirlo.

En concreto el ataque ha sido realizado mediante un troyano (denominado Stuxnet y descubierto por VirusBlokAda):

• con una firma digital auténtica suplantada de Realtek
• con características de "RootKit" para evitar su detección
  
• contra organizaciones con el sistema SCADA WinCC de Siemens lo que delata propósitos de espionaje industrial
• usando una vulnerabilidad desconocida hasta el momento del componente Windows Shell de Microsoft de al menos Windows 2000, XP, Vista, 7, Server 2003 y Server 2008
  

características que sumadas hacen justo el calificativo de ataque sofisticado. Este caso revela una vez más cuánto están de expuestos a diversos tipos de robos los datos de cualquier tipo (doméstico, empresarial) guardados o accesibles desde los PCs aún dentro de organizaciones con medidas de seguridad "clásicas" del tipo bastionado con cortafuegos, antivirus y sistemas operativos actualizados, desactivación de la autoejecución de Cds y lápices USB, etc


El Internet Storm Center de SANS , que califica la vulnerabilidad de "extremadamente seria", ha confirmado que el método concreto de aprovechamiento ("exploit") de la vulnerabilidad funciona (con pruebas en Windows XP, Vista y 7) y permite mediante el uso de archivos .LNK (accesos directos) adecuadamente preparados la ejecución del programa malicioso deseado simplemente mediante la apertura con el Explorador de Windows de la carpeta que contenfa los ficheros.

Se teme que en un corto plazo todo tipo de malware comience a usar este nuevo método para propagarse.

Microsoft ya ha emitido un boletín de seguridad fuera de ciclo para la vulnerabilidad para la que, a la espera de que emita una solución en forma de actualización del componente de Windows vulnerable ("parche") , propone como medidas -con efectos colaterales indeseados en muchos casos- para esquivar los ataques ("workarounds"):

• Deshabilitar la visualización de los iconos de los accesos directos poniendo en blanco el valor predeterminado (default) de la rama del registro:
  HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
  
  
• Detener y deshabilitar el servicio "Cliente Web" o WebClient (al hacerlo dejarán de funcionar los compartidos WebDAV)

Además Microsoft recomienda lo habitual: no utilizar cuentas con privilegios de administrador, no abrir memorias USB ni compartidos no confuables, filtrar los accesos de red de Windows (SMB) en lo posible, utilizar un antivirus y mantener actualizado el sistema.


Se da la especial circusntancia de que Microsoft sólo considera Windows XP Service Pack 3 en su Boletín y no Windows XP Service Pack 2 ni Windows 2000 confirmando el fin de soporte recientemente anunciado de esas versiones del sistemas operativo. Esto delata que no habrá parches de Microsoft para esta vulnerabilidad para esos sistemas (XP SP 2 y cualquier 2000) también vulnerables, lo que sería muy relevante si finalmente se extienden este tipo de ataques, lo que hace más recomendable si cabe todavía la instalación y despliegue de Service Pack 3 para Windows XP -si es que sigue pendiente- y la migración o protección especial de los equipos con Windows 2000.

Entradas relacionadas:

• [13/07/2010] Fin de soporte de Windows 2000 y Windows XP Service Pack 2 (Emtrada nuestra)
  
• [14/07/2010] Actualización de Microsoft que soluciona la vulnerabilidad del Centro de Ayuda de Windows aprovechada en Internet (Entrada nuestra)
• [22/07/2010] Más sobre la grave vulnerabilidad de Windows: exploits públicos y contramedidas (Entrada nuestra)
  

Actualización de Microsoft que soluciona la vulnerabilidad del Centro de Ayuda de Windows aprovechada en Internet

Microsoft ha publicado dentro del ciclo mensual normal de boletines (se publican los segundos martes de cada mes) el boletín de seguridad MS10-042 que incluye la actualización pendiente de la vulnerabilidad del Centro de Ayuda del sistema operativo Microsoft Windows ("Microsoft Windows Help and Support Center") descrita en el boletín fuera de ciclo 2219475 de Microsoft y que está siendo aprovechada de forma indiscriminada ("in the wild") en algunos sitios de Internet para provocar la ejecución de programas arbitrarios en el PC, generalmente instaladores de programas maliciosos o "malware" en el propio PC, cuando se accede a páginas web especialmente preparadas o modificadas desde un navegador que soporte el protocolo HCP, como Microsoft Internet Explorer desde un sistema operativo Windows XP vulnerable (aquél en el que no se implementara alguna medida alternativa como la de deshabilitar el protocolo HCP o se haya instalado esta actualización).

El nuevo boletín confirma que Windows XP y Server 2003 están afectados por esta vulnerabilidad (XP de forma calificada como "Crítica" y 2003 de forma "Leve") mientras que al menos Windows 2000 Service Pack 4, Vista , Server 2008 y Windows 7 no. Las actualizaciones están disponibles para los sistemas operativos afectados en sus versiones soportadas en la actualidad: XP Service Packs 2 y 3 y 2003 Service Pack 2. El Internet Storm Center de SANS califica de nivel "PATCH NOW" , es decir, "instale la actualización sin más demora", para el caso de los sistemas operativos Windows afectados en equipos con función de cliente (se presupone siempre que no se navega, descarga correo, usa redes sociales, etc de Internet desde equipos con función de servidor).

También recuerda que quien implementara la medida alternativa de deshabilitar el protocolo HCP creando una clave especial en el registro de Windows puede restaurar el comportamiento defecto simplemente eliminando la clave añadida.

Precisamente, Microsoft acaba de informar que el número de ataques que tiene registrados utilizando esta vulnerabilidad ahora solucionada se ha disparado los últimos días.

Entradas relacionadas:

• [27/06/2010] Vulnerabilidad sin parche disponible del componente de ayuda de Microsoft Windows aprovechada en ataques en Internet (entradas nuestras)
  

Fin de soporte de Windows 2000 y Windows XP Service Pack 2

Hoy, 13 de julio de 2010 finaliza el soporte - incluido parches de seguridad- de Windows 2000 ,(como sistema operativo, es decir, sea cual sea el Service Pack instalado) y de Windows XP Service Pack 2 (pero no de Windows XP con Service Pack 3, naturalmente.)

Esto debe ser tenido especialmente en cuenta especialmente por las organizaciones que cuenten todavía con equipos con Windows 2000 (Server o Profesional) como sistema operativo o que sigan utilizando Windows XP y no hayan desplegado el Service Pack3, ya que a partir de ahora los parches de Microsoft que puedan hacer falta para afrontar incidentes de seguridad como la propagación automática de algún gusano aprovechándose de una nueva vulnerabilidad de esos sistemas ya no estarán disponibles para esos sistemas, tal y como Microsoft establece en su política de ciclo de vida de soporte de sus productos cuya última directiva entró en vigor el día 13 de abril de 2010 estableciendo que para continuar recibiendo soporte técnico, gratuito o de pago, tanto en la fase de Soporte Técnico Principal como en la de Extendido se requiere tener instalado un Service Pack soportado.

Entradas relacionadas:

• [18/05/2009] Recordatorio: El 13/07/2010 finaliza en principio el soporte de parches de Windows 2000
• [28/02/2010] [Cercanos los respectivos] Fin de soporte para Windows XP SP2 y Windows Vista sin service packs instalados
• [12/06/2010] Recordatorio: El 13/07/2010 finaliza en principio el soporte de parches de Windows 2000

El Departamento de Salud Torrevieja lanza un Portal de Salud para interactuar con el sistema informático Florence

'El Portal de Salud permite a los pacientes del Departamento de Salud Torrevieja interactuar con el personal sanitario de los centros, favoreciendo la comunicación entre ellos de una manera ágil y segura; gestionar sus citas (consultar, modificar y cancelar) y conocer toda la información necesaria para los cuidados de su salud (campañas, consejos, etc.). Además, permite que los pacientes puedan colaborar desde sus casas en el cuidado de su salud, aportando información adicional que puede ser pertinente para su tratamiento, en un área de acceso restringido sólo al usuario (subir archivos, rellenar datos, etc.).'

Fuente y noticia completa: Acta Sanitaria 7/7/2010


Entradas relacionadas:

• [03/02/2010]Microsoft ya está aquí. El Hospital de Torrevieja aplica desde hace tres años un programa que desarrolla una historia clínica virtual
• [24/02/2010] Microsoft abrirá en Valencia un centro de innovación en Tecnología sanitaria
• [22/04/2010] Según ha anunciado Camps, los valencianos podrán consultar su historial médico en el móvil

Internet Explorer recupera usuarios tras 10 meses consecutivos de pérdidas

'Internet Explorer ha ganado en el mes de junio cuota de usuarios después de diez meses consecutivos de descensos. El navegador de Microsoft alcanzó este mes el 60,32 por ciento de los usuarios de Internet. En segundo lugar se mantiene Firefox con un 23,8 por ciento, mientras que Google Chrome se sitúa en 7,24 por ciento y Safari en el 4,85 por ciento. La recuperación del navegador de Microsoft se produce tras una fuerte campaña de promoción del Explorer que fue retirada tras una denuncia de los consumidores por cuestionar al resto de navegadores'

Fuente y noticia completa: Barrapunto 3/7/2010

Entradas relacionadas:

• [21/03/2009] Microsoft lanza Explorer 8, un navegador más intuitivo
• [23/06/2009] Según Microsoft, Internet Explorer 8 es superior a Mozilla Firefox 3 y Google Chrome 2 (Microsoft)
  
• [23/12/2009] Mozilla [Firefox] se gana a los internautas frente a Microsoft [Internet Explorer] (Expansión)
• [08/04/2010] Firefox ya llega al 30% de cuota (The Register)
• [10/05/2010] Yoda se une al lado oscuro con Internet Explorer
• [23/06/2010] Microsoft retira el anuncio 'engañoso y desleal' de Internet Explorer 8

Suma y sigue: 150 millones de Windows 7

'Microsoft sigue enseñando orgullosa cifras de ventas de Windows 7 con el objetivo de llegar a las anunciados 300 millones de copias antes de final de año. El ritmo parece el adecuado, porque antes de finalizar junio ya eran 150 millones de copias las que se habían vendido y Microsoft aún confía en un repunte de la demanda por parte de las empresas a finales de año.

El ritmo de venta se mantiene en siete copias de Windows 7 al segundo y esto se va notando en la cuota de mercado frente a versiones anteriores de Windows....'

'Los datos de Statcounter, recogidos por Royal Pingdom, muestran que en ese período de tiempo Windows 7 podría alcanzar el 20% de cuota mientras que Vista ya está por debajo de esa cifra. Aunque XP ha ido perdiendo cuota sobre todo a partir del lanzamiento de Windows 7, cuando defendía un 68%, aún sigue manteniendo un 58% en el mercado de sistemas operativos.'

Fuente y noticia completa: Muycomputer 25/06/2010

Imagen: pingdom.com vía MuyComputer