Quando executado no Windows XP, as versões 6, 7 e 8 do Internet Explorer (IE) não avisam os usuários quando clicam em um link malicioso que automaticamente baixa uma biblioteca de ligações dinâmicas, ou DLL, para o PC, alertou Mitja Kolsek, CEO da empresa eslovena de segurança Acros Security.
Chamada de “infiltração binária” (binary planting) pela Acros e de “sequestro de carga de DLL” (DLL Load Hijacking) por outros, a técnica de ataque recebeu atenção pública no mês passado quando HD Moore, o criador do kit hacker Metasploit, disse ter encontrado 40 aplicações Windows vulneráveis. Moore foi seguido por outros pesquisadores, incluindo Kolsek, que divulgaram diferentes números para a quantidade de programas em risco, e que variavam de pouco menos de 30 para mais de 200.
Muitas aplicações Windows não chamam uma DLL usando seu nome completo (composto por nome e pasta), mas apenas pelo nome de arquivo. Isso dá aos hackers espaço para explorar a vulnerabilidade, fazendo com que a aplicação carregue um arquivo malicioso com o mesmo nome da DLL original.
Se o usuário for levado a visitar sites maliciosos ou pastas remotas compartilhadas, ou mesmo espetar uma memória USB (que poderia causar a abertura de um arquivo de forma disfarçada), então o hacker poderia sequestrar o PC e instalar malwares nele.
Os usuários de IE, especialmente os que usam o Windows XP, são especialmente suscetíveis, disse Kolsek, baseando-se nos testes que sua empresa conduziu.
Os usuários que rodam o IE7 ou IE8 no Windows Vista ou no Windows 7 estão mais seguros, disse Kolsek, que notou que ambos os navegadores rodam em “modo protegido” como padrão nesses sistemas operacionais. Modo protegido é o termo da Microsoft para um ambiente tipo “caixa de areia”, no qual o IE roda com privilégios restritos.
O problema no XP é que ele automaticamente abre o Windows Explorer, o gerenciador de arquivos do sistema, sempre que o IE encontra uma pasta remota compartilhada. Quando chega a este ponto, os hackers vencem, disse Kolsek.
“Não é tanto que o IE seja vulnerável à infiltração binária, mas que as vulnerabilidades de outras aplicações podem ser exploradas de modo relativamente fácil por meio do IE, e em muitos casos sem uma única advertência”, disse Kolsek.
Como os navegadores rivais não chamam automaticamente o Windows Explorer, seus usuários não são vulneráveis a ataques de um clique. “O Chrome e o Firefox, por exemplo, não disparam o Windows Explorer”, disse Kolsek. Nem o Safari e nem o Opera.
A Microsoft tem dito que não pode produzir uma correção para o Windows para consertar o problema, que deve ser corrigido pelos próprios desenvolvedores das aplicações. A empresa publicou uma ferramenta para bloquear ataques originados de pastas compartilhadas remotas, mas não a distribuiu para todos os usuários.
Fonte: IdgNow
