Ataque Zap Zero Day Zero antes de que te atrape

Siento un poco de nostalgia cuando escribo esta columna porque, después de escribir Bugs & Fixes durante ocho años y medio - 102 columnas en total - es hora de que firme apagado. He disfrutado mucho escribiendo para ti durante todos esos años, y estoy agradecido de que PC World me haya dado la oportunidad de hacerlo.

Siempre he tenido dos objetivos en mente: ayudarte evite las amenazas actuales y brinde información útil sobre cómo funcionan los agujeros de seguridad y los ataques contra ellos, de modo que estará mejor preparado para enfrentar los problemas futuros. Espero haber cumplido al menos el espíritu de esos objetivos. Ahora, como solía decir mi papá en Montana: "dijo nuff".

Sin embargo, los insectos siguen avanzando, y este mes no es la excepción. Comencemos con Microsoft.

[Más información: cómo eliminar el malware de su PC con Windows]

A pesar de haber parchado recientemente más errores, incluyendo 23 vulnerabilidades críticas, que en cualquier otro momento en los últimos cinco años, la compañía quedó ciega por un error previamente desconocido presente en todas las versiones compatibles de Internet Explorer (incluido IE 8 Beta 2).

Ese error generó rápidamente una ola de ataques de día cero en línea, mientras los malos atacaban a través de la Web ante Microsoft había ideado cualquier parche o solución para ello.

El error afecta a una función clave conocida como "enlace de datos" en la que IE se basa al tratar con un lenguaje web llamado XML; el agujero implica una falla para liberar memoria correctamente cuando ya no es necesaria.

Un programa malicioso podría explotar el error cargando su propio código en la memoria excedente para controlar su PC. Si visitó un sitio con trampas explosivas o hizo clic en un enlace envenenado en un correo electrónico, ni siquiera establecer sus niveles de seguridad de IE al máximo lo habría detenido.

Los desarrolladores de Microsoft corrieron una solución para tapar el agujero, pero el el esfuerzo tomó una semana; Mientras tanto, los ataques se extienden. No me malinterpreten: una gran proeza es lograr una corrección importante en tan solo ocho días. Y Microsoft reconoció que la amenaza era lo suficientemente aterradora como para justificar la liberación del parche "fuera del ciclo", en lugar de esperar el próximo "Martes del parche".

Como necesitaba sacar el parche pronto, Microsoft no lo hizo. ofrece la solución de IE como una "actualización acumulativa". Eso es una indicación de cuán peligroso el equipo de seguridad de Microsoft consideró este error.

Debido a que los ataques han ocurrido "en la naturaleza", Microsoft le insta a obtener el parche lo antes posible (si no tiene activadas las actualizaciones automáticas) de su Boletín de seguridad de Microsoft. MS08-078 página.

Más errores de Microsoft

¿Qué pasa con los otros 23 errores críticos? No puedo abarcarlos todos aquí, pero estos son los que parecen más importantes:

Antes de los ataques de día cero, Microsoft lanzó un parche acumulativo para IE que soluciona cuatro agujeros críticos en las versiones de IE 5.01 (en Windows 2000 SP4) hasta IE7 (en Vista SP1). Varias de las debilidades son técnicamente similares al agujero de ataque de día cero.

A diferencia del parche fuera de ciclo de Microsoft, ninguna de las 23 vulnerabilidades ha sido atacada todavía. Como de costumbre, sea diligente a la hora de mantener sus actualizaciones actualizadas. Haga clic en el boletín de seguridad de Microsoft MS08-073 para obtener más información y un enlace a los parches. Microsoft también parchó dos agujeros en la interfaz de dispositivos gráficos de Windows, que permite a los programas mostrar texto y gráficos en el formato de metarchivo de Windows, un formato de archivo que se usa típicamente para ilustraciones de líneas, ilustraciones y presentaciones. Podría pensar que está cargando una imagen cuando, en realidad, ya se ha visto comprometido Como de costumbre, para ser atacado, todo lo que tendría que hacer es visitar un sitio web malicioso o hacer clic en un enlace en un e -mail.

Si todavía no recibe las actualizaciones automáticamente, consulte el Boletín de seguridad de Microsoft MS08-071 para obtener más información y un enlace al parche.

Dos agujeros más, esta vez en Windows Search para Windows Vista- -puede resultar en una pérdida total de control sobre su PC. Al igual que el error de IE, uno de los agujeros en la búsqueda se deja abierto cuando intenta liberar la memoria utilizada anteriormente. Vista tiene una capacidad llamada Windows Search que indexa su sistema para proporcionar resultados de búsqueda más rápidos y permitirle almacenar búsquedas para su reutilización más adelante. La estratagema que utiliza uno de los errores es inducirlo a abrir y guardar un archivo de búsqueda manipulado siguiendo un enlace erróneo en un correo electrónico o en un sitio trampa. Todos los fangos en el barro que aún usan Windows XP están a salvo. Solo los sistemas Vista (incluidos SP1 y SP2 Beta) están en riesgo. Obtenga más información del boletín de seguridad de Microsoft MS08-075.

Como dicen en televisión: ¡Pero espera, hay más! Microsoft también parcheó una serie de errores en Office, incluido un error crítico que afecta a Word 2007. Obtenga más información sobre todos estos errores y sus parches en la página de resumen de Microsoft Security Bulletin para diciembre de 2008.

Eliminando Firefox 2

The Los últimos ataques de día cero han llevado a algunos expertos a renovar su recomendación de que los usuarios de IE cambien a Firefox. Aunque no estoy en desacuerdo con ese consejo, es probable que los piratas informáticos presten más atención a Firefox, y así encuentren más agujeros en él, a medida que gana cuota de mercado frente a IE.

Para mantener a Firefox seguro, la gente de Mozilla ha ensamblado una nueva actualización para el navegador que repara un lote de agujeros de seguridad, varios de ellos críticos. Una falla reside en la función de restauración de sesión del navegador. Otros podrían permitir que un atacante aproveche los agujeros en el motor JavaScript (un popular lenguaje de programación web) de Firefox para permitir que un atacante se apodere de su PC.

Esta versión - Firefox 2.0.0.20 - será la actualización de seguridad final para el Línea de Firefox 2, anunciaron funcionarios de Mozilla en una publicación de blog. ¿Por qué? Tiene sentido admitir una única base de código, por lo que Mozilla está instando a los usuarios a pasar a Firefox 3 (actualmente en la versión 3.0.5). Ocho de los nuevos parches se aplican tanto a la versión 2 como a la versión 3.

Si todavía no tiene la actualización instalada mediante la función de actualización automática de Firefox, puede obtenerla en la página de descargas de Firefox de Mozilla. Desde el navegador, seleccione Ayuda, Buscar actualizaciones.

Eso es todo para mí. Espero volver a verte a todos alguna vez, más abajo en la autopista de la información.