malware novita

Attenzione al bug 0-Day in Firefox 3.5 & 3.6


Attenzione al bug 0-Day in Firefox 3.5 & 3.6

BitDefender®, noto produttore di innovative soluzioni di
sicurezza internet mette in guardia gli utenti su un difetto di sicurezza 0-day in Firefox
3.5 e 3.6, che ha fatto la sua comparsa negli ultimi giorni.

In genere avvisiamo gli utenti di questo tipo di incidenti, ma questa volta abbiamo deciso di mantenere
l’informazione il più confidenziale possibile, dato che nessuna patch era stata resa
disponibile dal distributore.
La vulnerabilità è stata identificata il 26 ottobre, quando alcuni siti web compromessi
hanno cominciato a installare malware sui computer degli utenti che visitavano una
pagina web progettata per l’occasione.

Il codice exploit scritto in JavaScript veniva
caricato su http://l-3com.[removed]-work.com/admissions/admin.php. Alcuni siti web
importanti, compreso il sito web del Premio Nobel, sono stati compromessi da
iniezioni iFrame che conducevano l’utente verso l’exploit.
Questi file JavaScript progettati per l’occasione si differenziano a seconda delle
diverse versioni di Firefox dalla 3.6.8 alla 3.6.11, e attivano un errore use-after-free,
cioè il codice cercherà di usare una porzione di memoria appena viene liberata.
Questa tecnica, sicuramente non rivoluzionaria, è stata usata anche lo scorso
gennaio da un exploit di IE8, identificato come Operation Aurora.
Una volta visitata la pagina dannosa, il codice JavaScript verifica sia il sistema
operativo sia la versione del browser utilizzato e occupa un’area specifica della
memoria con due carichi diversi.
Il primo differisce tra una versione e l’altra del browser e punta ad avviare l’exception
del browser, mentre il secondo è uguale per tutte le versioni del browser ed esegue i
file dannosi. Se l’utente raggiunge la pagina compromessa utilizzando un altro
browser o una versione di Firefox non vulnerabile, lo script indirizzerà l’utente verso
una nuova pagina vuota.

Read more

Lo staff di eScan mette in guardia gli utenti della rete dalla nuova ondata di attacchi spam che diffondono inedite versioni dei trojan Vundo e Buzus

Il team di professionisti della sicurezza di eScan mette in guardia gli utenti di Internet dall’aprire email – nonché gli allegati – che abbiano per oggetto titoli quali “You have received A Hallmark E-Card!”, “Your friend invited you to twitter!”, “Thank you from Google!”, “Jessica would like to be your friend on hi5!” e “Shipping update for your Amazon.com order 254-71546325-658732” . In questo tipo di email vengono veicolati allegati zippati che contengono nuove versioni di malware nocivi.

Ad esempio, l’email che ha per oggetto “You have received A Hallmark E-Card!” viene diffusa con in allegato un postcard.zip (o altra dicitura simile). Il contenuto del file zip reca con sé dei malware che hanno un motore di mass mailing SMTP integrato per inviare email e che si diffondono attraverso la posta elettronica agli indirizzi raccolti nei sistemi infettati.

Il payload contiene anche un malware con le caratteristiche di Vundo (aka VirtuMonde/VirtuMundo), ovvero un trojan horse che scarica ed esegue file arbitrari potenzialmente malevoli da Internet. Vundo è in grado di infettare il sistema nel momento stesso in cui il browser apre il link a una pagina web, contenuto in una email spam. Il browser web viene infestato da popup pubblicitari e il virus riesce a gestire antivirus e i relativi programmi di sicurezza. Questo fastidioso trojan è molto insidioso perché, anche se viene rimosso il file che lo genera (virtumonde.dll), lo ricrea automaticamente. Infatti, la dll viene creata nella directory Windows system32 dall’avvio di Internet Explorer. E’ inoltre in grado di iniettare il codice malevolo in processi legittimi, nel tentativo di nascondere la sua presenza nel sistema.

Read more