Все новости от 10 июня 2004 г.

Ошибки IE используются для распространения pop-up тулбара

Один дефект позволяет атакующему исполнять собственную программу на машине жертвы, а другой — наделять ее повышенными привилегиями (cross zones). В результате можно создать веб-сайт, который загружает и устанавливает программы на машинах посетителей.

По словам менеджера секьюрити-программы Microsoft Стивена Тулуза, если группа или компания использует уязвимости для установки на компьютеры пользователей без их ведома рекламного программного обеспечения, или adware, это может служить основанием для уголовного преследования. «Мы считаем, что любое использование эксплойта для исполнения программ незаконно, — сказал он. — Мы будем активно сотрудничать с правоохранительными органами и преследовать частных лиц и компании, которые этим занимаются».

Microsoft узнала о проблеме в понедельник, когда специалист по компьютерной безопасности распространил ее анализ через список почтовой рассылки Full Disclosure. Софтверный гигант уже обратился в ФБР. Компания намерена как можно быстрее выпустить поправку, не дожидаясь обычного ежемесячного обновления.

Судя по описанию на веб-сайте антивирусной компании Symantec, ошибки использовались для установки поисковой панели I-Lookup, которая добавляет в IE другие инструменты adware. Программа подменяет домашнюю страницу Internet Explorer, соединяется с одним из шести рекламных веб-сайтов и часто отображает всплывающие окна — главным образом с порнографической рекламой.

Во вторник информационная группа Secunia выпустила рекомендации по данной проблеме, оценив обе ошибки как «крайне критические». «Secunia подтверждает наличие уязвимостей в полностью пропатченной системе с Internet Explorer 6.0, — пишет группа. — Сообщалось, что предварительная версия SP2 предотвращает их использование, блокируя доступ».

Ошибки позволяют атакующему, создавшему веб-сайт, рассылать e-mail или IM-сообщения со ссылками, кликнув на которых, пользователь Internet Explorer вызывает исполнение злонамеренной программы на своем компьютере.

Первоначальный анализ, автором которого является студент из Нидерландов Елмер Куперус, обнаружил, что использование по крайней мере одной из двух ошибок требует глубокого знания операционной системы Windows. «Однако теперь, когда код опубликован, любой более-менее разбирающийся в вычислительной технике человек может легко создать такую страницу, — заявил Куперус CNET News.com в интервью по e-mail. — Достаточно изменить всего пару-тройку интернет-адресов и загрузить один исполняемый файл».

В распространенном в понедельник письме Куперус сообщает, что сам он узнал о троянском коне от анонимного лица. «Я отнесся к этому с недоверием и беспечно кликнул на ссылке, после чего мне оставалось только наблюдать, как программа автоматически устанавливает adware на мой ПК!» — пишет он.

Интернет-адрес, с которого загружается троянский конь, указывает на I-Lookup.com, поисковую машину, зарегистрированную в Коста-Рике, которую антивирусные фирмы Symantec и PestPatrol связывают с агрессивным рекламным ПО. По собственной статистике I-Lookup.com, два из трех наиболее популярных критериев поиска на этом сайте относятся к удалению подобных программ.

Поиск по имени домена показывает, что родительской компанией i-Lookup.com является Aztec Marketing, однако Pest Patrol связывает этот сайт с iClicks Internet. Направленные обеим компаниям сообщения e-mail с просьбой прокомментировать ситуацию пока остаются без ответа.

Куперус считает, что родительская компания i-Lookup.com не обязательно напрямую несет ответственность за установку троянского коня, но, возможно, поощряет его создателя в рамках какой-нибудь побочной программы. «При загрузке передается реферер-код, — пишет он. — Вероятно, тот, кто этим занимается, получает деньги за каждую установку, так что при желании сотрудники i-Lookup.com могут вычислить злоумышленников».

Тулуз из Microsoft говорит, что пользователи Internet Explorer могут ужесточить защиту от подобных атак, следуя инструкциям на сайте компании. Другие браузеры для Windows, такие как Opera и Mozilla, не содержат этих ошибок. 

 Предыдущие публикации:

 В продолжение темы:

Обсуждение и комментарии

	++ 10 Jun 2004 10:58 AM
Будем флеймить ?
	zzz 10 Jun 2004 10:59 AM
И так всё понятно: IE - отстой. Что и подтверждается переодически...
	(80) 10 Jun 2004 11:04 AM
Ну, если они эту ошибку только сейчас заметили... Наверное в и-нете кроме как на свой корпоративный сайт и не заходили никогда. Я уже несколько месяцев как вижу эту дрянь.
	vIv 10 Jun 2004 11:06 AM
MSIE bugfixes (sponsored by dault advers) 8-)
	Троль 10 Jun 2004 12:12 PM
Как смешно :) Ежики кололись, но продолжали есть кактус.
	WinFan 10 Jun 2004 1:18 PM
а вообще-то мы имеем дело с верхушкой айсберга. Если при запуске IE вылетают страницы c super porno XXX goly baba, самый полный чайник догадается, что дело нечисто. А если просто-напросто тихо трудится клавиатурный шпион? ИЛИ DDOS? Или спам рассылается в "разумных" объемах? Кого из хакеров поймали за последние года? Детей 18-летних? А куда деваютя хакеры постарше? Становятся на честный путь? Или делают то же самое, но профессионально и за хорошие деньги?
	alex 10 Jun 2004 1:20 PM
2++: а чего тут флеймить. IE - самый сексуалный броузер всех времен и народов :)
	LinFan 10 Jun 2004 1:26 PM
то Троль : Точнее: "мыши плакали, давились, но продолжали жрать кактусы" Приятного аппетита всем, кто любит IE&Win :)
	нц 10 Jun 2004 2:24 PM
если точнее все же ежики и они не "есть кактус", а "лезть на кактус".. кстати - а в бровзерах под лин есть возможность устанавливать туулбары, как в IE?
	alex 10 Jun 2004 3:07 PM
2нц: совсем "как в IE" - требуется согласие пользователя :) а так вот http://texturizer.net/firefox/extensions/
	bravomail 10 Jun 2004 7:15 PM
мда. когда же все дырки то залепят? вот и в опере нашли микродырку. кстати последняя ее версия по сравнению с 7.23 мне понравилась меньше
	tstone - saldomail.ru 11 Jun 2004 10:10 AM
Дыры все залепят, когда БГ высшее образование получит соотвествующее :-) т.е. уже никогда
	нц 11 Jun 2004 11:11 AM
2 tstone: Каззалось бы, причем тут МС? речь шла об Опере, в ней тоже попадаются весьма серьезные дыры, и обновляется Опера как-то подозрительно быстро несмотря на долгое тестирование..
	VicTor 11 Jun 2004 2:55 PM
2 нц: А название статьи-то читали? Буквочки IE ни с чем не ассоциируются?
	нц 11 Jun 2004 7:57 PM
2 VicTor: да, я читал не только назавание, но и саму статью. от alex и jstm я получил конкретный ответ. ответ tstone был на вопрос к bravomail, где рассматривалась опера. Потому что глупо приплетать БГ где не попадя.
	Ven 12 Jun 2004 11:02 AM
Давайте не забывать о том, что IE - наиболее распространный на сегоднешний день браузер. Вот скажите: как бы вы скачали ту же самую оперу, если бы у вас после устаноке винды небыло бы бразуера? Не думали об этом? А вы заплатили Майкрософту за его ПО чтобы они наняли еще N программистов для доработки своих продуктов? Когда же люди начнут понимать и перестанут тупо гнать на БГ и МС...переходите на линуху/мас и не перьтесь...и про БГ сразу забудете...за то вспомните много чего другого! лучше бы вы писали в МС когда находите какие-то баги...вот я сп2 тестил и сообщил о трех багах в МС...мне ответили что баги будут устранены уже в ближайшем билде!
	jstm 12 Jun 2004 3:20 PM
2 Ven Вообще-то если бы в Вин как в дистрибутивах Линукса при инсталляции можно было выбрать туеву хучу броузеров (да и скачать автоматом из интернета хотя бы и IE) очень я сомневаюсь что у ie было бы этих 85-90%. Кстати очень показательная статистика : http://www.w3schools.com/browsers/browsers_stats.asp За год IE потерял 7% за последних 3 месяца 3%. Конечно эта статистика по отдельно взятому хостингу, но тенденция говорит сама за себя.
	Andy 13 Jun 2004 12:28 AM
2Ven: "сообщил о трех багах в МС...мне ответили что баги будут устранены" ROFL!
	Andy 13 Jun 2004 12:30 AM
"как бы вы скачали ту же самую оперу, если бы у вас после устаноке винды небыло бы бразуера" Чтобы FTP пользоваться браузер вовсе не обязателен.
	A 13 Jun 2004 3:01 AM
> а чего тут флеймить. IE - самый сексуалный броузер всех времен и народов :) Угу. "Никто не видел столько порнухи, сколько её видел IE" (c) народ :)
	A 13 Jun 2004 3:01 AM
> а чего тут флеймить. IE - самый сексуалный броузер всех времен и народов :) Угу. "Никто не видел столько порнухи, сколько её видел IE" (c) народ :)
	Ven 13 Jun 2004 2:52 PM
"Чтобы FTP пользоваться браузер вовсе не обязателен" А FTP клиент где взять?
	jstm 13 Jun 2004 5:26 PM
2 Ven ftp client kak-by tozhe prisutstvuet v Windows. Net nikakih (technicheskih) problem pri installiacii predlozhit' linki kak na ie tak i na alternativnye browsery ukazav ves, vendora i t.d. Ja scitaju pri monopol'nom >90% vladenii desktopom MS obiazan tak sdelat'.
	eXOR 14 Jun 2004 10:18 AM
2 Ven: Start->Run->cmd.exe c:\> ftp ftp.host.com > cd /pub/ > get filename.ext не надо пожалуйста показывать себя глупее чем вы есть. 2 нц: >а в бровзерах под лин есть возможность устанавливать туулбары, >как в IE? Как в IE нельзя. Потому что это противозаконно. Есть возможность устанавливать с согласия пользователя.
	нц 15 Jun 2004 9:32 AM
Ключевое слово было "туулбары" а не "устанавливать как" ;) В ИЕ тоже пользователя спрашивают, если не используются пробелы в защите. Если пользователь натренирован всегда жать ОК то и в других системах появятся проблемы :) В ИЕ который со SP2 XP теперь вообще хрен чего поставишь, переборщили помоему даже :(
	alex 15 Jun 2004 12:37 PM
2нц: >Если пользователь натренирован всегда жать ОК то и в других системах появятся проблемы :) читаем статью внимательно. : "Ошибки позволяют атакующему, создавшему веб-сайт, рассылать e-mail или IM-сообщения со ссылками, кликнув на которых, пользователь Internet Explorer вызывает исполнение злонамеренной программы на своем компьютере." Никаких ОК при этом не вылезает. Вероятно, в SP3 по умолчанию будут отключены гиперссылки :)
	нц 15 Jun 2004 12:42 PM
> если не используются пробелы в защите. Читаем мой пост внимательно!
	Max - obriverhotmail.com 15 Jun 2004 8:49 PM
Пробелы в защите ИЕ используются потому, что ИЕ+Вынь - де-факто стандат. Всё что не ИЕ не атакуют не потому, что они у них секурность рулез, а потому что они рассыльщикам рекламы нах не нужны.