Hackers exploram falha crítica do IE

A Microsoft anunciou que hackers estão explorando uma vulnerabilidade crítica e ainda não solucionada do Internet Explorer 8 e 9, e que seus engenheiros estão trabalhando em uma atualização para resolver isso.

“Existem apenas alguns relatos de um números limitados de ataques direcionados especificamente para o Internet Explorer 8 e 9, apesar de o problema poder afetar potencialmente todas as versões suportadas”, afirmou um gerente da empresa Trustworthy Computing e porta-voz costumeiro, Dustin Childs, em um post sobre o assunto.

“Estamos ativamente trabalhando para desenvolver uma atualização de segurança para resolver esse problema”, afirma Childs.

Segundo Childs e o aviso de segurança publicado pela Microsoft, a vulnerabilidade afeta todas as versões suportadas do IE, incluindo a antiga IE6 até a ainda não lançada oficialmente IE11, que chegará juntamente com o Windows 8.1 em 18 de outubro.

“Não há como escapar dessa”, diz o diretor de DevOps da empresa de segurança na nuvem Cloud Passage, Andrew Storms, em referência ao bug que afeta todas as versões do browser. “Dias zero do IE nunca são uma coisa boa, especialmente quando eles afetam todas as versões.”

Apesar de o aviso da Microsoft não colocar nesses termos, a vulnerabilidade pode ser explorada usando táticas de ataque “drive by”. Isso significa que os hackers só precisam fazer com que as vítimas rodem sites maliciosos no IE – ou sites legítimos que tenham sido comprometidos anteriormente e carregados com código de ataque – para sequestrar o browser e colocar malware nos seus computadores.

Até que libere um patch, a Microsoft oferece aos usuários diversas opções para se protegerem, incluindo conselhos sobre como configurar EMET 4.0 e rodar uma das suas ferramentas automatizadas “Fixit”, mais indicada para usuários comuns.

Os usuários também podem trocar o navegador por uma opção alternativa, como o Google Chrome ou o Mozilla Firefox, até que a Microsoft libere uma correção permanente.

A Microsoft se recusou a comentar sobre quando planeja liberar um patch para a vulnerabilidade do IE.