Exibição de imagens remotas no Thunderbird

O leitor de e-mail Mozilla Thunderbird 2 e o webmail GMail (Google Mail) têm em comum um recurso que agrega segurança, eficiência e praticidade. O bloqueio e a exibição seletiva de imagens externas dentro de mensagens de e-mail.

Imagens externas ou remotas são referências a imagens na web dentro de uma mensagem formatada, para compor o conteúdo. Em termos simples, é quando o remetente escreveu a mensagem formatada e usou para diagramação ou ilustração uma ou mais imagens mantidas na internet. Em termos técnicos: existe uma ou mais tags IMG no HTML da mensagem, cujo atributo fonte (SRC) aponta para uma imagem na internet.

Neste caso, o programa de e-mail, depois de baixar a mensagem, terá de acessar a internet novamente e baixar cada imagem remota referenciada, para que seja exibida a apresentação visual completa da mensagem recebida.

Tal uso de imagens pode ser usado de forma legítima e “inocente”, para compor uma mensagem formatada e ilustrada. É inclusive muito comum nas malas diretas de empresas, que usam imagens para ilustrar os produtos divulgados. Assim, as imagens não são incluídas no corpo de cada mensagem enviada — o que efetivamente reduz o tamanho da mensagem e o tráfego de envio — mas sim acessadas da web quando cada destinatário visualiza.

Pode ser prático para quem envia, mas é perigoso para quem recebe.

Os riscos

Para começar, podem me chamar de antiquado, mas eu particularmente sou favorável do correio eletrônico para mensagens de texto puro, sem formatação, como foi originalmente concebido. Formatação HTML (fontes, cores, tamanhos… etc.) aumenta muito o tamanho da mensagem trafegada, em comparação a se fosse enviado apenas o texto puro de seu conteúdo. Considerando que em geral os programas de e-mail, ao enviar uma mensagem formatada, enviam junto também uma versão alternativa em texto puro e que as informações de formatação ocupam “espaço”, o tamanho de uma mensagem formatada é mais de duas vezes maior que o tamanho do texto puro.

Mas mesmo que você considere essencial trazer para o correio eletrônico a riqueza visual que existe na web, com seus negritos, centralizados etc., existem riscos concretos nas mensagens formatadas com imagens.

Primeiro, tráfego de rede. Imagens em geral são muito maiores do que texto e, para exibir plenamente uma mensagem com diversas imagens, seu programa de e-mail terá que baixar todas as imagens remotas usadas. Porém, você pode ter uma boa banda larga e isso gasta poucos segundos.

Em seguida vêm os ricos sérios.

Segundo, a quebra de privacidade. Quando seu programa leitor de e-mail (mesmo que seja um webmail) baixa uma imagem remota para exibir em uma mensagem, ele tem que acessar o servidor web onde a imagem está. Este acesso fica registrado. Ou seja, o servidor web “sabe” que você (seu computador) buscou a imagem naquele momento. Algumas empresas utilizam imagens (às vezes “invisíveis”, com tamanho zero ou transparentes) em malas diretas exatamente para controlar quantos, quando e quem recebeu as mensagens, com base no registro de imagens acessadas em seu servidor.

Por fim, o risco de segurança. Fraudes, spams e outras incursões maliciosas freqüentemente utilizam o mecanismo de inserção de imagens remotas na mensagem formatada para explorar alguma vulnerabilidade de segurança, de forma a exibir conteúdo impróprio, introduzir no computador destino um arquivo maléfico, abrir uma brecha para invasão ou outro dano qualquer.

A precaução e as facilidades

É por esses riscos que o Thunderbird e o GMail — e outras aplicações de e-mail que seguirem o bom exemplo — bloqueiam por padrão a exibição de imagens externas nas mensagens recebidas. É oferecida uma opção para Carregar/Exibir as imagens, que pode ser acionada pelo usuário caso ele realmente deseje.

Na ilustração seguinte, você vê parte de uma mensagem formatada recebida pelo Thunderbird. No alto, há um aviso informando que as imagens externas foram bloqueadas (ou seja, ainda não foram baixadas) e um botão com a opção “Carregar imagens”. Na mensagem, pode-se perceber os espaços reservados para as imagens, não exibidas. Se, após conferir remetente, assunto e conteúdo textual, quiser exibir as imagens nesta mensagem específica, pressione o botão.

[photopress:thunderbird_imagens_01.png,full,centered]

Porém, existem casos em que você confia bastante no remetente, sabe que ele comumente envia mensagens formatadas contendo imagens e quer que elas sejam sempre exibidas, de forma automática, sem que você tenha que solicitar a exibição de imagens a cada mensagem recebida. Para estes casos, também existe uma opção.

No Thunderbird 2, é o link “Sempre carregar imagens externas de email-remetente”.

[photopress:thunderbird_imagens_02.png,full,centered]

O Thunderbird armazena esta opção com uma das informações de um contato (remetente), no Catálogo de Endereços. Quando se escolhe o link e o remetente da mensagem em questão ainda não está no seu catálogo de endereços, abre-se uma janela de diálogo para adicioná-lo.

[photopress:thunderbird_imagens_03.png,full,centered]

Nessa janela, note a opção “Permitir imagens externas em mensagens com formatação HTML” marcada. Pronto. Com esta opção marcada em um contato adicionado a seu catálogo de endereços, o Thunderbird passa a baixar e exibir automaticamente as imagens nas mensagens formatadas recebidas deste remetente.

[photopress:thunderbird_imagens_04.png,full,centered]

Para saber mais:

Nota: uma mensagem do Submarino.com.br foi usada como exemplo nas ilustrações. A logomarca e o conteúdo ilustrativo exibidos são propriedade ou crédito do Submarino.

Boas blogadas do dia

Joseph Ottinger anunciou no TheServerSide.COM o lançamento do Spring 2.5, com melhorias em anotações (dia 20), pela SpringSource. Fundada em 2004 como Interface21, a empresa de Rod Johnson, criador do Spring Framework, foi agora renomeada para SpringSource (InfoWorld Tech Watch, dia 19). Veja também Interface21 becomes SpringSource (dia 18), pelo próprio Rod Johnson.

Neal Gafter — engenheiro de software e Ph.D. em computação, atual evangelista Java do Google e antigo engenheiro sênior da Sun para implementação de recursos da linguagem Java 1.4 e 5.0, co-autor do ótimo livro “Java Puzzlers” (Addison Wesley, 2005) — escreveu novos recursos que devem entrar no Java 7: Closures Prototype Update and Extension Methods (dia 20). A postagem foi comentada por Marcos Silva Pereira no JavaFree e em seu blog (dia 22).

O indiano Amit Kumar Saha entrevistou James Branam, gerente do projeto NetBeans Community Docs, com perguntas e respostas sobre o programa: The NetBeans Community Docs Program Wants You! (dia 21). Em seu blog, James já havia apresentado Amit como coordenador de contribuições do programa.

Tim Boudreau — evangelista NetBeans e co-autor de “NetBeans, the Definitive Guide” (O’Reilly, 2002), americano radicado em Praga, na República Tcheca — comentou sobre seu NetBeans South American Tour (dia 24) no Brasil, com fotos de Natal a Florianópolis. Retrocendendo no blog, você encontra mais anotações e fotos do tour NetBeans pela América Latina, em companhia de Bruno Souza, o JavaMan.

Thiago Arrais escreveu “Testes não são para testar” (dia 22) e outros artigos interessantes refletindo sobre conceitos de test-driven development.

Está saindo em novembro pela editora O’Reilly Media o livro Design Accessible Web Sites, 36 Keys to Creating Content for All Audiences and Platforms, por Jeremy Sydik. Mas lembre-se: Acessibilidade não é só na web!

Em Ajax programming with the Java Scripting API (dia 20), o autor Jeff Friesen fala sobre essa API da JSR 223 com trechos do capítulo 9 de seu novo livro Beginning Java SE 6 Platform, From Novice to Professional (APress, 2007). No mesmo dia, também em JavaWord, saiu o artigo correlato Scripting on the Java platform — Using Groovy, Jython, and JRuby for Java development, por Gregor Roth.

A nota do IDG Now! Leitor eletrônico de livros Kindle da Amazon se esgota em quatro dias (dia 23) fala do mais recente lançamento de Jeff Bezos, criador da Amazon. Leia também Amazon Reading Device Doesn’t Need Computer (dia 20), por Saul Hansell, no New York Times. Jeff Bezos é um inovador nato, um dos precursores do futuro (Mario Persona, 2005) no mundo tech. A matéria Aluga-se a Amazon (dia 15), na revista Exame, fala de outras inovações de Bezos.

Nota no TG Daily (dia 21) diz que a fatia de mercado da pesquisa Google é de quase 60% nos EUA. Os dados são da comScore, empresa especializada em medição Internet. O release de imprensa comScore Releases October U.S. Search Engine Rankings (dia 21) mostra que em outubro o Google foi o único dos líderes que cresceu (1,5%), atingindo 58,5%, o equivalente a 6,6 bilhões de buscas. Yahoo (22,9%) e sites Microsoft (9,7%), segundo e terceiro colocados, cairam 0,8 e 0,6 pontos porcentuais respectivamente. Seguem-se Ask Network (4,7%) e Time Warner Network (4,2%). Não encontrei dados recentes para o Brasil, mas em 2005, medições da Nielsen//NetRatings em 11 países apontavam Portal MSN e Google como líderes de audiência no país. No ranking Brasil do Alexa Web Search, liderado pelo Orkut, Google Brasil aparece em 2º, Windows Live 3º, Yahoo 6º e Google.com 7º.

Destaco duas notícia do InfoWord Tech Watch no dia 15. SOA spec goes to OASIS committee diz que OASIS formou um comitê técnico para evoluir a especificação Service Data Objects (SDO), que visa simplificar a forma com que aplicações SOA tratam dados. A iniciativa tem a colaboração de Adobe, BEA Systems, IBM, Progress Software, SAP, e Xcalia. A outra nota, Microsoft Foundation Classes update planned, diz que o time de C++ da Microsoft está trabalhando em uma “significante” atualização da MFC, provendo a desenvolvedores o look-n-feel de Microsoft Office 2007, Internet Explorer 7 e Visual Studio 2008.

Finalmente, foi anunciada correção das falhas no tratamento de endereços Internet (URI) no Microsoft Windows (CAIS, dia 15) que afetavam a maioria dos programas que usam a API do Windows para acionar endereços Internet. A falha foi descoberta em julho, mas o alerta público da Microsoft (943521) só veio em 10 de outubro. Daí até a divulgada solução, conforme Boletim MS07-061 (dia 13) e Artigo técnico 943460, mais um mês se passou. Nesse tempo todo, a maioria das aplicações, como Firefox, Adobe Reader e muitos outros já haviam tomado suas próprias precauções para evitar o erro, conforme citei em A falha de URI com XP/2003+IE7 se espalha (dia 5). A Microsoft só identificou formas de explorar essa vulnerabilidade em sistemas com Internet Explorer 7 instalado, mas a falha existia na biblioteca Shell32.dll, usada por toda aplicação que interage com o Windows.

Para finalizar, mais alguns anúncios de software.

Apache Continuum 1.1 final foi lançado (dia 23). Continuum é um servidor de integração contínua para construção e teste de projetos baseados em Java, com suporte a Maven 1 e 2, Ant e scripts Shell; software livre sob licença Apache.

XWiki project releases 4 new versions (dia 21), por Vincent Massol em TSS.com. XWiki é um wiki escrito em Java, software livre de código aberto distribuído sob licença LGPL. Os quatro lançamentos anunciados foram XWiki Enterprise 1.1.2 (estável) e 1.2 Milestone 2 (em desenvolvimento); XWiki Enterprise Manager 1.0 Milestone 2; e XWiki Eclipse Integration 1.0.

OpenForum Wiki 2.0 (dia 19), por Nik Cross em JavaLobby. OpenForum Wiki é uma plataforma de colaboração em estilo wiki, que traz integrado servidor web e autenticação de usuário.

JPen: Java Pen Tablet Access Library Released (dia 19), por Nicolas Carranza em JavaLobby. JPen é uma interface Java para mesas digitalizadoras (pen tablets). Roda em Java 6 sobre Linux (XInput) e Windows (wintab) e é software livre lançado sob licença LGPL.

A falha de URI com XP/2003+IE7 se espalha

Os consultores de segurança Billy (BK) Rios, da Verisign, e Nate McFeters, da Ernst & Young, vêm há vários meses realizando pesquisas sobre vulnerabilidades na forma como os programas em Windows lidam com URIs, em especial os diversos esquemas (esquema é a parte inicial do URI, que precede os dois-pontos e especifica o tipo ou protocolo do recurso; como http: e mailto:) e os tratadores de URI registrados no Windows.

Em julho, eles descobriram a Falha no tratamento de URL em Windows XP e 2003 com Internet Explorer 7 instalado, que permite execução de código remoto: Microsoft Security Advisory (943521). Esta vulnerabilidade foi divulgada em final de julho (Secunia SA26201) e consta na lista Common Vulnerabilities and Exposures (CVE) sob o número CVE-2007-3896 — mais informações no National Vulnerability Database (NVD).

A falha foi detectada manifestando-se através do navegador Firefox em Windows XP com Internet Explorer 7 instalado, afetando até a versão 2.0.0.5. Em poucos dias, Firefox e Thunderbird 2.0.0.6 já bloqueavam a falha, registrada como Mozilla Foundation Security Advisory 2007-27. Detalhes podem ser vistos no acompanhamento dos bugs Mozilla 389580 (CVE-2007-4041) e 394974 (CVE-2007-4841).

À época, os mais inflamados da permanente competição Firefox × Internet Explorer levantaram discussões sobre de qual navegador era a “culpa” da vulnerabilidade. Conforme sugeriu o próprio Billy Rios, ambos falharam.

Logo ficou claro que a origem da falha foram mudanças no tratamento de URIs em bibliotecas atualizadas pelo IE7, em Windows XP e 2003. Mas todos os programas que também não tratavam URIs maliciosas para prevenir o problema se tornavam vetores dessa vulnerabilidade ao ativar certos endereços (URIs) internet.

O comportamento falho no processamento de URIs foi detectado e solucionado no Firefox e Thunderbird 2.0.0.6, Skypecorrigido na versão 3.5.0.239 –, Trillian IMcorrigido na versão 3.1.7.0entre outros.

O mais recente anúncio de atualização de segurança foi do Adobe Reader/Acrobat 8.1.1 (visualizador/processador de PDF), que também trata a tal falha em Windows XP/2003 com IE7 instalado (Adobe Security bulletin APSB07-18 e CVE-2007-5020, 2007-10-22), que afeta Adobe Reader e Acrobat até versões 8.1 e 7.0.9.

O que mais me impressiona é que o problema de URIs maliciosas está sendo corrigido nos diversos programas afetados, mas a Microsoft até hoje ainda não solucionou a falha original que o IE7 em XP/2003 introduziu em julho!

Exemplos de fraude (scam) atualizados

Desde o início deste ano eu não atualizava meu artigo Scam – A fraude inunda o correio eletrônico.

Depois de dois anos coletando e categorizando fraudes que circulam por correio eletrônico, os mais de 350 exemplos contidos no artigo já são referência suficiente para ilustrar e esclarecer, de forma muito clara, a todos sobre a verdadeira indústria das fraudes pega-bobos que circulam aos montes no Brasil e no mundo.

No caso do Brasil, praticamente todas essas fraudes têm sempre o mesmo objetivo: roubar dados pessoais da vítima, especialmente senhas bancárias. O que muda basicamente são só os temas de mentiras usados para atrair a vítima e fazer com baixe/execute um programa espião (“roubador” de senhas) ou mesmo forneça diretamente os dados em um formulário.

Hoje porém resolvi adicionar dois exemplos de fraude detectadas recentemente, por se tratar de marcas amplamente conhecidas: cartões Credicard Citi + Itaucard e Caixa Econômica Federal (FGTS).

A primeira fraude leva a um formulário na web que solicita diversos dados pessoais e bancários da vítima, fingindo tratar-se de um recadastro. As imagens (cópia de tela) de exemplo estão as rotuladas com “Credicard” e “Web: Credicard”, na seção Exemplos: Formulário – Nacionais da página principal.

Na página de exemplos sobre Notificações Financeiras e Cadastrais foi adicionado o da fraude “Caixa FGTS”, do tipo download de programa cavalo-de-Tróia espião, que usa a mentira de um suposto crédito de FGTS na Caixa para levar ao programa Trojan-Downloader.Win32.Banload.esq (classificação Kaspersky Lab, 2007-11-03).

Mensagem: Credicard Web: Credicard Mensagem: Caixa FGTS

Tranqüilizo o leitor que as imagens de exemplo aqui e no artigo são inofensivas, apenas cópias de tela (printscreen) das fraudes reais, sem apontar para os programas ou formulários maliciosos originais. Os links das minuaturas acima levam à respectiva página do artigo com mais exemplos. Nas páginas do artigo, clicar em uma miniatura apenas abre a imagem ilustrativa em tamanho real.

Atualização de segurança dos navegadores Firefox, Opera e IE

Dia 5 de outubro foram divulgadas as JRE Updates para vulnerabilidades na máquina virtual Java Sun. Veja agora novas notas sobre segurança digital.

Mozilla Firefox 2.0.0.8

A empresa de segurança Secunia divulgou publicamente o alerta crítico sobre múltiplas vulnerabilidades encontradas no navagador Internet Mozilla Firefox 2, corrigidas no Firefox versão 2.0.0.8 já disponível.

Como duas vulnerabilidades corrigidas são consideradas críticas — erro no componente XPCNativeWrapper (MFSA 2007-35) e Crashes with evidence of memory corruption (MFSA 2007-29) — a atualização imediata é recomendada para todos os usuários de versões anteriores. O recurso de atualização automática do Firefox, contudo, deve prontamente notificar a existência da atualização e proceder ao download e à instalação.

A atualização do Firefox corrige outras cinco falhas, sendo três de risco médio e duas de baixo risco. Ainda traz um tratamento adicional para prevenir que uma vulnerabilidade do Microsoft Windows no tratamento de URI (alerta Secunia SA26201) possa ser explorada quando se usa o Firefox.

As falhas também afetam a suíte Mozilla Seamonkey 1.1 e, três delas, o leitor de correio Thunderbird 2. As versões atualizadas de ambos 1.1.5 e 2.0.0.8, respectivamente, devem estar disponíveis nas próximas horas.

Para saber mais (em inglês):

Para baixar o Firefox atualizado e demais programas da fundação Mozilla: br.mozdev.org. Disponível para Windows, Linux e Mac OS X, em português do Brasil e vários outros idiomas.

Opera 9.24

Fonte: Browser Opera tem três bugs críticos, por Plantão INFO Online, 2007-10-19.

Três falhas críticas no Opera expõem os usuários a ataques externos. A Opera Software já corrigiu os três problemas na versão 9.24. É recomendada atualização imediata aos usuários de versões anteriores. O alerta foi dado pela Secunia em boletim publicado em seu site.

A primeira falha leva o Opera a abrir de forma incorreta programas clientes de e-mail. Esse erro pode ser explorado para executar códigos na máquina do usuário.

O segundo erro ocorre quando o Opera trata com frames de diferentes websites. A falha permite a execução de uma sessão de browser no contexto de outros sites. Isso pode levar o usuário a navegar num site malicioso acreditando estar em local confiável.

A terceira vulnerabilidade surge no Opera em combinação com o Adobe Flash Player 9.0.47.0 e anteriores, no sistema operacional Mac OS X.

Veja também Varias vulnerabilidades en Opera 9.x (em espanhol), por Hispasec Una-al-Día, 2007-10-19.

Para baixar o Opera atualizado: opera.com.

Microsoft Internet Explorer 7, 6 e 5.01 atualizado

O CAIS — Centro de Atendimento a Incidentes de Segurança da RNP Brasil — alerta sobre Correções de Segurança Acumulativas para Internet Explorer, repassando o Microsoft Security Bulletin (MS07-057) no dia 9 último.

Esta atualização de segurança é considerada moderadamente importante para Internet Explorer 6 e 7 em Windows Server 2003. Para todas as outras versões e sistemas suportados, a atualização é crítica.

Na referida página do alerta do CAIS estão listadas em detalhes as versões de Internet Explorer e Windows afetadas, com links para as atualizações disponíveis.

Para os usuários que têm a Atualização Automática do Windows ativada, configuração extremamente recomendada, devem receber prontamente a atualização. Também pode-se ativar manualmente a atualização do Windows ou utilizar o portal Microsoft Windows Update.

Relatório de Segurança Symantec

A empresa de segurança Symantec divulgou em setembro seu XII Relatório de Ameaças à Segurança na Internet, publicação semestral que fornece uma atualização do cenário mundial de ameaças virtuais. Ele inclui a análise de ataques em redes, um resumo das vulnerabilidades conhecidas e de códigos maliciosos. Também avalia tendências nas atividades de phishing scam (fraudes “pega-bobos”) e spam (mala-direta/lixo em massa por e-mail).

Informações e resumos sobre o relatório estão disponíveis em Inglês, Português e Espanhol, mas o relatório completo é só em inglês. Essa é a décima-segunda edição semestral do relatório, publicado pela Symantec desde 2002. Na página Internet Security Threat Report (em inglês) estão disponíveis mais informações e todas as edições anteriores do relatório.

Eis os pontos de destaque do XII Relatório Symantec, disponíveis em documentos de resumo em português:

  • Introdução
  • Dados mundiais:
    • Crescente profissionalização e comercialização de atividades maliciosas
    • Ameaças cada vez mais feitas sob medida para certas regiões
    • Número crescente de ataques em múltiplos estágios
    • Criminosos exploram sites confiáveis para atingir vítimas
    • Convergência dos métodos de ataque
  • América Latina:
    • Principais ataques
    • Principais países-fonte
    • Número de computadores infectados por Bot em cada país
    • As 10 principais amostras de códigos maliciosos
    • Spam

Outra empresa de segurança que divulga relatórios periódicos similares é a Modulo Security, principal empresa brasileira especializada em gestão de riscos e segurança da informação. Desde 1994, a Modulo realiza anualmente Pesquisas Nacionais sobre Segurança da Informação, focadas no Brasil.

Para saber mais:

Conheça o mundo em que vive

Em 2004, a agência de publicidade Foote Cone & Belding (FCB) de Lisboa, Portugal, fez uma campanha publicitária fantástica para a revista portuguesa Grande Reportagem. A campanha, intitulada “Bandeiras”, apresentava bandeiras de algumas nações, usando a proporção das cores que preenchem a bandeira como infográfico de algum dado estatístico — uma mazela social — local, acrescido do slogan “Conheça o mundo em que vive.”

A campanha foi tão bem sucedida que levou a FCB a ser premiada com um Leão de Ouro no Festival Internacional de Publicidade de Cannes em 2005.

Eis a peça publicitária que tem a bandeira do Brasil como tema (clique na imagem para ampilar):

[photopress:bandeira_brasil.jpg,full,centered]
Legenda: Verde – Pessoas que vivem com menos de 10 dólares por mês
Amarelo – Pessoas que vivem com menos de 100 dólares por mês
Azul – Pessoas que vivem com menos de 1000 dólares por mês
Branco – Pessoas que vivem com mais de 100.000 dólares por mês

O conjunto de oito bandeiras que compõem a campanha publicitária pode ser visto em Consciência.Net, 2004. As mesmas imagens estão também reproduzidas com legenda em texto no blog Issamu, em O mundo em que vivemos, Maringá, Brasil, 2007-05-21. Eis a lista de bandeiras e o respectivo fato ilustrado:

  • Angola (endemias/saúde)
  • Brasil (má distribuição de renda)
  • Burkina Faso (mortalidade infantil)
  • China (trabalho infantil)
  • Colômbia (tráfico de drogas)
  • Estados Unidos (guerra no Iraque)
  • Somália (mutilação genital feminina)
  • União Européia (escassez de petróleo)

Como não podia deixar de ser, as imagens das bandeiras começaram a circular em correntes por e-mail, na forma de uma lenda urbana, no seguinte boato, obviamente inventado e falso:

O diplomata norueguês Charung Gollar foi incumbido de apresentar, na ONU, um gráfico mostrando os principais problemas que preocuparam o mundo no decorrer de 2005.

Apresentou oito gráficos, intitulado ‘O Poder das Estrelas’. Foi aplaudido de pé! E seu trabalho foi indicado a concorrer para o prêmio Nobel em Marketing político… Vejam os gráficos!

As duas coisas são incríveis pela sua criatividade: a campanha publicitária da FCB e a lorota mirabolante do boato!

Para saber mais:

Rutkowska quebra proteção do Vista, de novo

Fonte: Fórum PCs, por SKuLL_DeviLL, 07 de agosto de 2007.

Joanna RutkowskaA polonesa Joanna Rutkowska voltou a utilizar o seu famoso Blue Pill para introduzir um código malicioso no Vista. Ela subiu no palco em Las Vegas e disse: “Vou falar sobre a proteção do kernel do Vista e porque ela não funciona”.

A palestra de Joanna Rutkowska, no encontro Blackhat, voltou a surpreender por sua clareza e pelos detalhes. Ela começou lendo um documento do Microsoft Vista que dizia, inclusive, que os usuários com privilégios de administrador não podiam carregar um código no modo Kernel sem a permissão do sistema. Depois ela sorriu com ironia.

No ano passado, Rutkowska fez uso do seu famoso Blue Pill, um malware que se introduziu no sistema de virtualização do Vista e lhe concedeu privilégios de administrador.

Apesar das declarações da Microsoft afirmando que este problema foi solucionado antes que a versão final do Vista fosse encontrada no mercado, ainda existem muitas formas de atacar o Vista, e isso Rutkowska conseguiu provar com sobras.
Utilizando um driver da NVIDIA como proxy para escrever o código no Kernel, ela mostrou como um rootkit é capaz de enganar o sistema de segurança do kernel do Vista, que é o que supostamente evita a entrada do código não autorizado.

Este problema afeta não só o driver da NVIDIA, mas também o da ATI e quase todos os outros drivers de terceiros. Pior ainda: os drivers foram tão mal escritos e sua arquitetura tão mal desenhada que um usuário nem sequer precisa ter uma placa gráfica NVIDIA ou ATI instalada com o driver para se aproveitar desta falha. Basta apenas incluir o arquivo do driver junto com qualquer outro grupo de códigos, colocá-lo em algum lugar da unidade C: e utilizá-lo depois como um vetor de ataque.


Em seu blog “Segurança na Microsoft”, Fernando Cima postou o artigo Divulgado Código Fonte do Novo “Blue Pill” (03/08/2007) em que critica a efetividade do Blue Pill. O analista já havia analisado o primeiro Blue Pill (14/08/2006) apresentado por Rutkowska no evento Black Hat 2006.

Para saber mais:

Firefox 2.0.0.6 bloqueia falha em Windows XP/2003

Em artigo dia 30 eu comentei sobre uma vulnerabilidade divulgada que afetava o Firefox, mesmo na recente atualização 2.0.0.5.

No dia 30 mesmo a Fundação Mozilla lançou nova atualização de segurança Firefox 2.0.0.6 e, dois dias depois, Thunderbird 2.0.0.6, ambas endereçando duas vulnerabilidades:

  • MFSA 2007-27: Unescaped URIs passed to external programs; crítica.
  • MFSA 2007-26: Privilege escalation through chrome-loaded about:blank windows; de impacto moderado.

À medida que são discutidos mais detalhes sobre a falha reportada pelos pesquisadores de segurança Billy Rios e Nathan McFeters (MFSA 2007-27), percebe-se que a origem do problema envolve o tratador de URLs do Windows XP e 2003 com Internet Explorer 7. Ao repassar protocolos para o navegador Firefox (como http) ou o leitor de e-mail Thunderbird (como mailto), o tratador de URL, em determinada situação, leva indevidamente à execução de programas locais.

Independente da “responsabilidade” pelo problema ser dos programas Mozilla, como insiste em alegar o pesquisador de segurança especializado em Windows Jesper Johansson, ou da Microsoft, o fato é que a Fundação Mozilla agiu super rápido — como de costume — e já lançou uma versão impedindo a exploração maliciosa da falha nos programas Firefox e Thunderbird.

Para ficar mais seguro, atualize o navegador Firefox e o leitor de correio Thunderbird o quanto antes para a versão 2.0.0.6. Para ficar mais seguro ainda, utilize o Linux ao invés do Windows… 😉

Para saber mais:

Atualidades de segurança

Já faz algum tempo que eu não falo sobre de segurança digital aqui, então, eis algumas atualidades no assunto para variar.

Dia 17 de julho foi lançada nova versão do navegador web Mozilla Firefox 2.0.0.5 corrigindo oito vulnerabilidades — três críticas, duas altas, uma moderada e duas baixas.

Duas das vulnerabilidades (2007-18 e 2007-23) afetavam também o Thunderbird. Por isso, o leitor de correio eletrônico também teve seu Security Update 2.0.0.5 lançado em seguida, no dia 19. Veja mais informações no Thunderbird 2.0.0.5 Release Notes.

Segundo notícia por Carlos Machado no Plantão INFO Online dia 27, nova falha já foi descoberta pelos consultores Bill Rios, da Verisign, e Nate McFeters, da Ernst & Young. A Fundação Mozilla informou que já está desenvolvendo correção para essa nova brecha de segurança. Aguardem atualização em breve.

As atualizações de segurança dos programas da Fundação Mozilla foram tema do blog Security Fix de Brian Krebs no Washington Post, dia 18, e do alerta do CAIS repassando o Secunia Advisory SA26095, no dia 19.

No mesmo dia 19, o CAIS fez um outro triste alerta. Segundo o boletim Mensagens falsas relacionadas ao acidente da TAM, as fraudes estavam se aproveitando do tema da recente tragédia ocorrida com o vôo 3054 da TAM. O objetivo é o mesmo de sempre: usar um pretexto de impacto para tentar proliferar programas maliciosos que visam roubar dados bancários. Além do crime, é um profundo desrespeito ao ser humano.

Tony Bradley também alertou para o problema em sua coluna Network Security na About.com: Beware Brazilian Plane Crash Malware (em inglês), 20 de julho.

Dia 25, o CIAC divulgou o alerta R-312: Apache Tomcat Vulnerability. Informa que a página de exemplo SendMailServlet nas versões 4.0.x e 4.1.x do servidor de aplicação web Java Tomcat até a 4.1.36 eram vulneráveis ao ataque cross-site scripting pelo campo “From”. O alerta, contudo, é de baixo impacto, já que se trata de versões antigas — já sucedidas por três linhas de versões, 5.0, 5.5 e 6.0 — e envolve uma página exemplo, que em geral não é utilizada em ambiente de produção.