segunda-feira, 27 de outubro de 2014

SEGURANÇA DIGITAL – FALHAS ZERO DAY (DIA ZERO)

CADA AÇÃO IMPLICA UMA REAÇÃO, E A IMPUNIDADE APARENTE É UM LOGRO.

Uma nova falha “zero-day” que afeta o Windows – com exceção da versão Server 2003 – foi descoberta dias atrás pela Microsoft. Segundo a empresa, o bug explora uma vulnerabilidade do POWER POINT que pode conceder a um cracker as mesmas prerrogativas do usuário legítimo do PC, abrindo as portas para a instalação não autorizada de sabe lá Deus o quê. A solução provisória, batizada pela Microsoft de “OLE packager shim workaroung”, funciona nas versões de 32-bit e 64-bit do PowerPoint 2007, 2010 e 2013.
Ataques zero-day se aproveitam de vulnerabilidades descobertas nos softwares antes que os fabricantes desenvolvam e disponibilizem as respectivas correções e geralmente buscam induzir a execução de códigos maliciosos mediante anexos de emails aparentemente interessantes e confiáveis, ou pelo redirecionamento da vítima para páginas contaminadas.

Observação: A Microsoft costuma utilizar ferramentas pró-ativas para garimpar incorreções em seus produtos, da mesma forma que os crackers mais sofisticados, que recorrem a fuzzers para identificar as brechas.    

Quando hackers sem vínculo com o desenvolvedor do software descobrem uma brecha (descoberta ética), eles costumam agir de acordo com um protocolo destinado a evitar ataques do dia zero – dando conta do problema ao desenvolvedor responsável e se comprometendo a não divulgar a descoberta até que a correção seja disponibilizada. Alguns, todavia, negociam com empresas de segurança digital, ou diretamente com os fabricantes dos softwares, a quem entregam as informações em troca de “recompensas” que podem chegar a centenas de milhares de dólares. Mas não é exatamente incomum essas falhas serem encontradas por crackers (hackers “do mal”), que as exploram ou negociam no submundo da TI.

Amanhã a gente conclui; abraços e até lá.