Notícias

Segurança

As brechas do Excel, corrigidas no boletim MS07-036, são apenas graves na versão 2000 do programa. Uma delas já estava divulgada publicamente antes da Microsoft lançar o patch, mas ela não foi usada em ataques. A brecha corrigida no Publisher afeta apenas a versão 2007 do programa e recebeu uma classificação “Importante”. Estas brechas podem ser exploradas caso um arquivo do Excel ou do Publisher sejam abertos, resultando na instalação de vírus, o que, normalmente, não é possível com arquivos deste tipo.

As correção para o .NET Framework apresentada no boletim MS07-040 são importantes para usuários de Internet Explorer e administradores de servidores web baseados em Windows. De acordo com a Microsoft, duas das três falhas podem permitir que páginas web instalem vírus no sistema, enquanto a outra possibilita que um invasor obtenha acesso ilegítimo a certas partes de um website.

O boletim MS07-041 é importante para webdesigners e outras pessoas que, por uma razão ou outra, utilizam o servidor web IIS (Internet Information Services) no Windows XP. Uma brecha no processamento dos endereços URL pode permitir que um invasor obtenha o controle do sistema vulnerável sem interação do usuário. É possível que bots e outros worms que exploram falhas em recursos da rede passem a tentar explorar esta falha.
Resumo dos boletins

* MS07-036: Três brechas no Excel. Crítico para a versão 2000, onde um arquivo malicioso pode ser aberto sem confirmação, “Importante” para as demais, inclusive 2007. O boletim revela que, além destas três falhas, “outras falhas descobertas durante o curso das investigações [das vulnerabilidades]” também foram corrigidas. Não há detalhes, nem números adicionais
* MS07-037: Falha no Publisher 2007. O boletim recebeu a classificação “Importante” e permite que instalação de vírus se um arquivo do Publisher for aberto.
* MS07-038: Vulnerabilidade de “Information Disclosure” (Revelação de Informação) no firewall do Windows Vista. Classificação Importante.
* MS07-039: Duas falhas no Active Directory, afetando criticamente as edições de servidor do Windows 2000 e de forma menos intensa o Windows 2003. A falha é mais grave no Windows 2000 porque pode ser explorada pela rede, sem a necessidade de interação adicional.
* MS07-040: Falha no .NET Framework, o componente utilizado para executar aplicativos escritos em linguagens .NET. Pode ser explorada por meio do Internet Explorer e no IIS (Internet Information Services). O patch é considerado “crítico” para os Windows 2000 Pro e XP e “Importante” para servidores e Windows Vista.
* MS07-041: Detalha uma falha, cuja correção é considerada “Importante”, no IIS 5.1 (do Windows XP). O IIS (Internet Information Services) é o servidor web da Microsoft, utilizado no Windows XP em geral para testar páginas web, especialmente em ASP. A brecha pode ser explorada remotamente e tem potencial para se tornar alvo de bots.

O Google anunciou nesta semana, a compra da Postini, empresa de segurança de mensagens, por 625 milhões de dólares...

A crescente complexidade dos softwares de segurança está levando aos fornecedores do setor a criticar as tradicionais avaliações, dizendo que elas não testam adequadamente outras formas de proteção das soluções.

As relações entre os fornecedores e as organizações que testam as solução são geralmente cordiais, mas tornam-se tensas se o produto falha. Representantes dos dois lados concordam que as estratégias de teste precisam ser reavaliadas para dar a clientes uma visão mais acurada sobre os diferentes produtos comparados.

“Não acredito que alguém acredita nos testes como são hoje”, diz Mark Kennedy, engenheiro da Symantec.

Funcionários da Symantec, F-Secure e Panda concordaram, no último mês, no evento ‘International Antivirus Testing’ na Islândia, que era preciso criar um novo plano de testes. A esperança, diz Kennedy, é que todos as empresas do setor concordem com um teste padrão para toda a indústria. Uma prévia será apresentada em setembro próximo.

Um dos testes tradicionais envolve rodar amostras de software malicioso nas diversas soluções AV. Os motores das soluções usariam, então, as vacinas para identificar os softwares maliciosos.

Mas os AVs mudaram nos últimos anos e “agora existem outras formas de detectar e bloquear malware”, diz Toralv Dirron, engenheiro-chefe da McAfee.

A detecção baseada em vacinas é importante, mas a explosão de programas maliciosos diferentes está ameaçando a efetividade da técnica de defesa. Assim, os fornecedores precisam criar novas táticas para pegar as pragas.

Técnicas como detecção por comportamento (que busca o malware pelas ações que ele toma na máquina) é uma das maneiras para detectar a praga mesmo que ainda não exista uma assinatura para ela. Combinado com ferramentas baseadas no host, como sistemas de prevenção de intrusão, podem usar firewall e técnicas de inspeção de pacotes para bloquear ataques.

Os modos diferentes de ataques envolvem maneiras diferentes de defesas, que precisam ser todas testadas para gerar um ranking eficaz, defendem os analistas.

Um teste baseados em assinaturas pode levar apenas cinco minutos. “É rápido e barato, mas é um teste muito básico”, diz Andreas Marx, da AV-Test.org, um mestre em teste de antivírus.

Os fornecedores de segurança também acreditam que os testes devem analisar quão eficazmente as soluções removem programas ruins, processo que pode afetar o desempenho da máquina.

Para eles, um teste falho pode ser vergonhoso, já que as organizações de teste divulgam os resultados com grande barulho.

Organizações como a AV-Test.org e Virus Bulletin (VB100) realizam diversos testes das soluções AV. Mas, conforme defende a Kaspersky, um teste acusou a falha em pegar um determinado worm que tinha sido tirado, segundo a empresa, com a intenção de melhorar desempenho. Roel Schouwenberg, pesquisador da Kaspersky, afirma que a assinatura foi colocada de volta. “Se o teste fosse conduzido um dia antes, nos passaríamos”, diz.

Todos os fornecedores são comunicados, após o teste, quais amostras eles falharam em detectar, com a maioria criando as assinaturas para seus produtos.

Então, em que os usuários podem acreditar? John Hawes, consultor técnico da Virus Bulletin, afirma que os testes baseados em assinatura não são “representativos perante o mundo real”.

No entanto, ressalta Hawes, os testes baseados em assinatura podem indicar a confiança e consistência em determinado fornecedor de software. Virus Bulletin também faz análises baseadas nas suítes de AV, que abordam aspectos como a usabilidade, que pode ser tão importante quando a detecção para os usuários.

A AV-Test.org já está fazendo testes com maior abrangência, mas utiliza entre 30 a 50 amostras de malware, montante muito menor do que as 600 mil amostras da Wildlist. Estes testes, no entanto, vão ser muito importantes para dar uma visão de como os antivírus se comportam no mundo real.

21/06/2007 - ás 09h40


da France Presse, em Washington

Um grupo de piratas virtuais conseguiu penetrar nos sistemas do Departamento de Segurança Interna dos Estados Unidos (DHS), realizando centenas de ataques contra a principal agência em matéria de cibersegurança.

O número de sites de phishing continuam em ascensão. Segundo o McAfee Avert Labs, houve um aumento de 784% desse tipo de página no primeiro trimestre de 2007, sem previsão de redução. Esses sites geralmente usam falsas páginas de inscrição para serviços comuns da Internet, como leilões, processadores de pagamento ou serviços bancários. Mais de 13,7 milhões de registros foram violados até agora em 2007, de acordo com a Attrition.org, comparado ao 1,8 milhão de registros durante o mesmo período no ano anterior.

O número total de spams capturado pelo McAfee Avert Labs permaneceu estável durante o primeiro semestre. Os spams de imagem chegaram a 65% de todos os spams no início de 2007; embora esse número tenha diminuído mais recentemente. O spam de imagem é um email de lixo eletrônico que inclui imagens, e não somente texto. Geralmente, ele é usado para anunciar venda de ações, produtos farmacêuticos e certificados. A imagem pode ser três vezes maior que uma simples mensagem. Isso causa um aumento significativo no consumo da largura de banda pelas mensagens de spam. Em novembro de 2006, o spam de imagem chegou a 40% do total de spams recebidos; no ano anterior esse número não passou de 10%.

Os malwares, vírus que modificam arquivos gravados em um disco, continuam em destaque. O Philis e o Fujacks continuam ativos, e o Avert Labs classificou mais de 150 novas variantes dessas duas famílias neste ano. Outras famílias, como Sibil, Grum e Expiro também estão ativas.

De acordo com o mecanismo de rastreamento do Avert Labs, em torno de 200 mil computadores foram infectados com rootkits desde o início de 2007 — um aumento de 10% em relação ao primeiro trimestre de 2006. Quanto as vulnerabilidades, no primeiro semestre de 2007, a Microsoft emitiu 35 boletins de segurança, 25 dos quais foram classificados como críticos e nove importantes. Durante o mesmo período em 2006, a Microsoft emitiu 32 boletins, dos quais 19 foram classificados como críticos e dez foram considerados importantes.

Previsões de ataques futuros

Segundo o McAfee Avert Labs, os vídeos da Web se tornarão um alvo para os hackers. Os criminosos virtuais aproveitam a onda de vídeos na Internet, geralmente disponíveis em sites de relacionamento, como o YouTube e o MySpace. Por exemplo, o site de uma banda francesa foi usado para carregar um cavalo de Tróia nos computadores dos fãs, através do exploit de um recurso em QuickTime. O Avert Labs prevê também um aumento excessivo de sites criados para compartilhamento, como páginas de wiki e aplicativos online. Até mesmo os sites de arquivos serão afetados de acordo com previsão da empresa de segurança para os próximos 10 anos.

Uma surpresa detectada pela empresa de segurança é a diminuição nos ataques realizados contra dispositivos móveis. Surpreendentemente, os números de malwares contra estes equipamentos estão diminuindo, com 12 de novos exemplos de programas mal-intencionados direcionados a dispositivos como telefones celulares e smart phones no primeiro trimestre de 2007. Segundo o laboratório, as estatísticas indicam que outro tipo de golpe vem caindo: O uso de robôs que deixam o controle total dos computadores na mão de oportunistas virtuais vem diminuindo ultimamente.

O Adware predominará. Entretanto, como ele tem uma má reputação, as empresas estão tentando utilizar outras maneiras de distribuir mensagens na Internet. A BitTorrent, por exemplo, está estabelecendo uma tendência de oferecer downloads gratuitos de suporte como uma alternativa para downloads pagos.

Já o roubo de identidade e a perda de dados continuarão sendo um problema público. Essas informações podem vazar não somente pela Web, mas também por meio de dispositivos portáteis de armazenamento, impressoras e aparelhos de fax.

O FBI (a polícia federal dos Estados Unidos) está entrando em contato com mais de um milhão de donos de computadores que tiveram seus computadores invadidos por criminosos. A iniciativa é parte de uma investigação que já detectou mais de um milhão de vítimas que tiveram seus computadores usados por criminosos nas chamadas botnets.

Botnets são redes formadas por diversos computadores com um programa chamado bot (ou zumbi), projetado para procurar informações pela Internet com pouca intervenção humana. Estes computadores ligados a redes botnets podem estar sendo usados - sem o conhecimento de seus donos - para atividades como envio de spam ou esquemas de fraudes.

O FBI descobriu redes destes computadores zumbis sendo usadas para espalhar spam, roubar identidades e atacar páginas na Internet.

A agência está trabalhando com vários parceiros da indústria de tecnologia americana para avisar os donos destes computadores e, por este processo, o FBI afirma que poderá descobrir mais incidentes nos quais botnets foram usados para facilitar outras atividades criminais.

Segundo a agência, estas redes de bots ou zumbis são uma crescente ameaça à segurança nacional, à infra-estrutura nacional de informação e à economia.

Hábitos de segurança
Segundo o diretor-assistente da Divisão Cibernética do FBI, James Finch, a maioria das vítimas não sabe que seus computadores forem comprometidos ou sua informação pessoal está sendo explorada.

Um criminoso assume o controle infectando o computador com um vírus ou outros códigos maliciosos e o computador continua operando normalmente. Cidadãos podem se proteger de botnets e esquemas associados com hábitos fortes de segurança para reduzir o risco de comprometimento de seu computador, disse.

Muitas pessoas acabam vítimas destas práticas abrindo um arquivo anexado em um e-mail, que contenha um vírus. Ou até mesmo visitando uma página na Internet com armadilhas.

Os responsáveis por estas redes bots (chamados botherders, ou pastores de bots, em tradução livre) podem comandar dezenas de milhares de computadores infectados.

Acusados
A operação do FBI - que foi batizada de Bot Roast - conseguiu acusar três pessoas. Robert Alan Soloway, de Seattle, poderá ser condenado a 65 anos de prisão se for considerado culpado da acusação de usar uma grande rede de computadores zumbis e ter enviado milhões de e-mails não solicitados e de spam para fazer propaganda de seu site na Internet.

James Brewer, de Arlington, no Texas, foi acusado de ter operado uma rede botnet que infectou computadores de hospitais da área de Chicago. Esta rede botnet, por sua vez, infectou dezenas de milhares de computadores no mundo todo.

Jason Michael Downey, de Covington, Kentucky, é acusado de usar botnets para enviar um alto volume de tráfego para alguns endereços online, visando causar dano e diminuir a disponibilidade de alguns sistemas.

Se você ainda não ouviu falar em Certificação Digital, prepare-se. Mais cedo do que você imagina este termo fará parte do seu cotidiano tanto quanto o CPF e o RG. Para que você não seja surpreendido, o WNews preparou um guia com tudo o que você precisa saber para conseguir a sua. Confira a seguir.

Por que devo ter uma certificação digital?

A Certificação Digital é sua assinatura virtual. Portanto, torna mais segura a prática de atividades online, como o uso de Internet banking, compras online e declaração de Imposto de Renda. Por exemplo, em transações bancárias, o banco terá a certeza de que quem está acessando sua conta corrente é você, evitando fraudes. No entanto, ao contrário do RG, a certificação digital tem validade. O prazo de vigência do documento eletrônico varia em função do tipo de certificado (saiba mais sobre isso abaixo).

Para Maurício Agusto Coelho, diretor de infra-estrutura de chaves públicas do ITI (Instituto Nacional de Tecnologia da Informação), a popularização do uso da Certificação Digital deve levar no máximo dois anos. “Varejistas eletrônicos e Internet bankings já estão desenvolvendo aplicações neste sentido. Banco do Brasil, Caixa Econômica Federal e Receita Federal são exemplos de instituições que já utilizam certificados”. Coelho conta ainda que o Brasil tem atualmente 500 mil Certificações Digitais emitidas, tanto para pessoas físicas, jurídicas e servidores Web. Até o final de 2006 a previsão é de que chegue a 1 milhão.

O que é Certificação Digital?

O Certificado Digital funciona como uma carteira de identidade virtual. Um documento eletrônico que contém dados do titular como nome, e-mail, CPF, dois números denominados chave pública e privada, além do nome e da assinatura da AC (Autoridade Certificadora) que o emitiu. A chave privada é que garante o sigilo dos dados do titular que assina a mensagem. A pública permite que ele compartilhe com outras pessoas a informação protegida por criptografia.

A criptografia é a técnica de transformar dados em códigos indecifráveis para serem transportados de um ponto a outro sigilosamente. A chave (pública ou privada) é o que permite decodificar estes dados.

Como posso tirar a minha Certificação Digital?

A emissão da Certificação Digital só pode ser feita presencialmente. O interessado deve procurar uma AC, preencher um formulário com seus dados e pagar uma taxa que varia de acordo com o modelo do documento. Depois deve se apresentar em uma AR (Autoridade de Registro), com documentos como Carteira de Identidade ou Passaporte - se for estrangeiro-, CPF, Título de Eleitor, comprovante de residência e número do PIS/PASEP. Pessoas jurídicas devem apresentar registro comercial, no caso de empresa individual, ato constitutivo, estatuto ou contrato social, CNPJ e documentos pessoais da pessoa física responsável.

O que é uma Autoridade Certificadora?

ACs são órgãos autorizados a emitir Certificados Digitais pelo ITI, órgão do Governo Federal ligado à Presidência da República. O ITI é a primeira autoridade da cadeia de certificação, a chamada AC Raiz (Autoridade Certificadora Raiz), que emite e controla a ICP-Brasil (Infra-Estrutura de Chaves Públicas Brasileira), modelo de Certificação Digital adotado no País.

Atualmente, existem sete ACs no Brasil que emitem certificados tanto para pessoas físicas quanto jurídicas. São elas Serpro (Serviço Federal de Processamento de Dados); CertiSign, empresa privada especializada em certificação digital; Serasa; IMESP (Imprensa Oficial do Estado de São Paulo); PRODEMG, empresa de tecnologia de informação do Governo de Minas Gerais; Caixa Econômica Federal e SINCOR (Sindicato dos Corretores de Seguros do Estado de São Paulo). Em breve o estado do Rio Grande do Sul deve se tornar a oitava AC exclusiva para os gaúchos, segundo o ITI.

O que é uma Autoridades de Registro?

A AR faz o reconhecimento presencial da pessoa que solicita a Certificação Digital. Atualmente, são 400 ARs no Brasil. A expectativa do ITI é de que até o final do ano esse número suba para 1,2 mil. Entidades como Correios, Caixa Econômica Federal, Sincor, Banco do Brasil, Bradesco, Itaú, e Itautec são ARs. O ITI informou que os corretores de seguro deverão se tornar ARs, o objetivo é que eles possam ir até os cidadãos para identificá-los. Ao solicitar a Certificação junto a uma AC a pessoa será orientada a procurar uma AR próxima. As sedes ou sites das ARs contam os endereços dos postos.

Quanto custa uma Certificação Digital?

Os tipos de certificados são A1, A2, A3 a A4. A diferença entre eles é como são gerados e o grau de segurança que proporcionam. Entre os mais usados está o A1, gerado e armazenado em software . Pode ser gravado em HDs, CDs ou DVDs e tem validade de um ano. Este modelo custa por volta de R$ 100. Ele é mais simples e menos seguro que os outros.

O A3, também um dos modelos mais usados, é gerado e armazenado em hardwares como smartcards ou tokens (espécie de pen drive com saída USB e leitora embutida). Esta modalidade é mais segura que a A1 e tem validade de três anos. O preço do kit com leitora, smartcard e assinatura digital, fica em torno de R$ 300. Já o modelo com token sai por R$ 400.

A criptografia é uma das maneiras mais antigas e conhecidas para proteger dados. Ao embaralhar as informações, fica mais difícil para pessoas externas acessarem e entenderem do que tratam documentos ou e-mails. No entanto, a adoção desta tecnologia não está decolando sozinha, precisa estar relacionada e vendida em uma suíte de produtos de defesa. Para John Dumper, vice-presidente mundial de criptografia da IronPort e o antigo presidente da empresa adquirida PostX, a resposta pode estar na adequação à regulamentações.

“O fato de que perder um e-mail pode gerar uma alta multa, é um dos pontos que está alavancando a criptografia”, diz. Ele acrescenta que normas como a Sarbanes-Oxley e a Hipaa, para o setor de saúde, são bons exemplos de motivadores para criptografia. Além dessas demandas, continua, setores com grande índice de regulamentação, como o financeiro, já estão utilizando fortemente criptografia. “Temos três grandes bancos internacionais como clientes, além de outros cinco em testes”, revela.

A história dessas empresas mostra o movimento dos fornecedores em aumentar o escopo de suas soluções de defesa, resultando em um turbulento período de consolidação. Em novembro de 2006, a PostX foi adquirida pela Ironport, até então um fornecedor independente em segurança. Dois meses depois, em janeiro de 2007, a Ironport foi comprada pela Cisco por 830 milhões de dólares. Dumper destaca que boa parte das ferramentas da PostX vão entrar como uma atualização de software nas soluções da Ironport no terceiro trimestre deste ano.

De acordo com Arthur Capella, diretor geral da subsidiária de segurança da Cisco no Brasil, a Ironport está passando por um momento de expansão no Brasil, com a contração de novos executivos. “É sinal do bom momento da empresa, estamos crescendo tanto no governo quanto no setor privado. A aquisição está dando músculos que não tínhamos”, completa.

Estudo organizado pela Privacy Internacional deu ao Google a pior avaliação em um ranking de privacidade.