Microsoft publicará hoy siete boletines de seguridad.

 

 

 

 

 

 

Hoy, en el ciclo mensual de actualizaciones correspondiente a octubre, Microsoft publicará siete boletines (del MS12-064 al MS12-070) que corrigen veinte vulnerabilidades en total.

Solo uno de esto boletines ha sido calificado como crítico, con un impacto potencial de ejecución de código remoto y que corrige, entre otras, vulnerabilidades críticas en Microsoft Word en sus versiones 2003, 2007 y 2010.

El resto han sido calificados como importantes, y corrigen vulnerabilidades cuyos impactos van desde la denegación de servicio a la ejecución de código remoto, pasando por la elevación de privilegios. Además de los sistemas operativos de Microsoft tanto para servidor como escritorio, entre los productos afectados por estas vulnerabilidades se encuentran productos para servidores de Microsoft (Sharepoint, Groove), software de comunicación (Comunicator, Lync), Microsoft SQL Server y varios componentes de Microsoft Office Software.

Se incluyen en este lote de actualizaciones las vulnerabilidades derivadas de los componentes Oracle Outside In para FAST Search Server 2010 for SharePoint, las cuales fueron reportadas en el Oracle Critical Patch Update de julio. Quedaban pendientes las actualizaciones para este producto concreto, si bien ya fueron solucionadas para Microsoft Exchange en el boletín MS12-058, publicado en agosto.

También se publicará en el servicio Windows Update la actualización de la longitud mínima (de 1024bits) para claves RSA de los certificados, descrita en el Security Advisory 2661254. Hasta ahora, esta actualización se había distribuido exclusivamente a través del centro de descarga de Microsoft para su despliegue manual y evaluación por el usuario. Pasará a ser una actualización automática, distribuyéndose a todos los sistemas que las tengan activadas. 

 

Via | @unaaldia

Descubierta una vulnerabilidad 0-day en Internet Explorer 6, 7, 8 y 9

A pesar de las mejoras que ha hecho Microsoft con su navegador, se siguen encontrando fallos en Internet Explorer. El último se ha descubierto hace unos días, una vulnerabilidad 0-day que permite que un atacante ejecute código en tu ordenador, aunque sin permisos de administrador.

La vulnerabilidad afecta a todas las versiones de Internet Explorer en todos los sistemas operativos, salvo a Internet Explorer 10. Para que un ordenador sea atacado, tiene que visitar una web especialmente preparada, que descargaría código al ordenador para después ejecutarlo aprovechando este fallo.

Como comento arriba, es una vulnerabilidad 0-day, lo que quiere decir que ya se está explotando activamente. De hecho, lo han descubierto a raíz de un exploit relacionado con otra vulnerabilidad (también 0-day) en Java SE 7 que se destapó hace unos días.

Microsoft ya está al tanto de la vulnerabilidad, aunque no han aclarado si el parche aparecerá en cuanto lo tengan o en uno de sus patch tuesdays, las liberaciones de parches que hacen cada mes. Mientras, aseguraos de tener el antivirus actualizado y de no visitar páginas extrañas para evitar ser infectados. 

Información técnica:

El fallo permite la ejecución remota de código a través de una vulnerabilidad en la función execCommand utilizando referencias no válidas a puntero ya liberado (use-after-free). En el código del exploit esto se consigue mediante la creación de un objeto 'CMshtmlEd', su eliminación y posterior uso de la zona de memoria mediante CMshtmlEd::Exec. Una vez explotada la vulnerabilidad, se ejecuta el payload mediante la técnica del relleno de la memoria heap mediante NOPs (heap spray) y del propio shellcode para conseguir su ejecución. Elude DEP y ASLR con técnicas ROP y después carga un troyano del servidor malicioso.

En el siguiente vídeo se puede observar todo el proceso, llevado a cabo en un servidor comprometido donde se alojaban tanto el exploit de IE como el conocido RAT Poison Ivy, encargado de controlar a la potencial víctima.

El diagrama de flujo del ataque sería el siguiente:

El exploit (Protect.html) inicialmente no era detectado por ninguna casa antivirus:

 

 

 

Aunque finalmente Microsoft ha actualizado sus definiciones de antivirus identificando la familia del exploit como Dufmoh.

 

 

 

Este 0-day está siendo ampliamente explotado tras la publicación del script para Metasploit. Aunque el módulo de Metasploit está creado para Internet Explorer 8, se podría modificar para otras versiones.

 

No existe parche o contramedida oficial por parte de Microsoft, por lo que se recomienda el uso de otros navegadores hasta que sea publicada una actualización. EMET correctamente configurado, podría permitir detener el vector de ataque.

 

Fuente | Genbeta | Hispasec Sistemas

Virus que vienen instalados de serie: Microsoft detecta en China 'malware' instalado en fábricas de PC

 

Los cibercriminales parecen haber encontrado una nueva vía para infectar ordenadores con virus informáticos: insertar el código malicioso en los PC en la propia línea de producción. Vamos, que el malware puede venir ya de serie. O, al menos, esa es la voz de alarma que ha dado Microsoft tras desvelar hace unos días que han comprado varios ordenadores en China que ya estaban infectados de origen.

El gigante de Redmond aseguró en su blog que, según una investigación realizada por la propia compañía, el malware detectado ya venía instalado desde el mismo centro de producción del ordenador. El estudio de Microsoft se llevó a cabo para confirmar sospechas que la compañía tenía desde tiempo atrás. La firma, capitaneada por Steve Ballmer, describe que compró 20 ordenadores en diferentes ciudades chinas, la mitad de ellos de sobremesa y la otra mitad portátiles, y que cuatro resultaron venir precargados con el virus Nitol. Un código malicioso que inicia ataques a otros ordenadores e incluso facilita a los ciberdelincuentes el robo de datos para ayudarles a saquear cuentas bancarias online.

"Hemos detectado que el malware es capaz de encender el micrófono o la videocámara de un ordenador infectado de forma remota, lo que da a los cibercriminales oídos y ojos dentro de la casa o de la oficina de la víctima", señala el abogado de la sección de investigación criminal de Microsoft, Richard Boscovich.

Infiltrados

 

 La multinacional obtuvo, tras tener estas evidencias, el permiso de un tribunal estadounidense para anular la red de ordenadores infectados con Nitol. La conclusión a la que ha llegado Microsoft es que los delincuentes se habían infiltrado en una cadena de suministro demasiado insegura para introducir software falsificado embebido como malware cuando los PC estaban en construcción, informó la web de la BBC.

Según la cadena británica, investigaciones posteriores revelaron que el botnet detrás de Nitol estaba siendo ejecutado desde un dominio web que había estado involucrado en delitos informáticos desde 2008. Al parecer, el virus procedía de un centro de control cobijado en el dominio web 3322.org, registrado a nombre de Bei Te Kang Mu Software Technologies. Dicho dominio, según las citadas fuentes, tenía 70.000 subdominios separados utilizados por 500 cepas diferentes de malware para engañar a las víctimas o robar datos.

Yong Peng, propietario del dominio chino 3322.org, aseguró a la agencia Associated Press que no sabía nada acerca de la acción legal de Microsoft y subrayó que su compañía "tiene tolerancia cero hacia las actividades ilegales". No obstante, reconoció que actualmente cuentan con 2,85 millones de nombres de dominio "y no se puede excluir que haya usuarios individuales que puedan utilizar nombres de dominio con fines maliciosos".

Fuente | Cincodias