Обновления безопасности Microsoft за ноябрь 2013 года

Обновления безопасности Microsoft за ноябрь 2013 года

Обновление безопасности от Microsoft за ноябрь 2013 г. включает три критически важных бюллетеня и пять бюллетеней с рейтингом «важные». Обновление под названием MS13-088 закрывает восемь критичных уязвимости и две важных уязвимости в Internet Explorer. Всего Microsoft устраняет 19 проблем в Internet Explorer, Office и в самой ОС Windows.

Гвоздём программы является обновление MS13-090, закрывающее CVE-2013-3918 – уязвимость в ActiveX, эксплуатируемую через Internet Explorer. Эту уязвимость раскрыли  8 ноября ребята из FireEye; они также рассказали, что смогли  «вскрыть» её в результате длительной APT-атаки, которую они назвали DeputyDog. Чтобы выполнить атаку, группа киберпреступников взломала ещё один тщательно выбранный веб-сайт, посетителей которого и перенаправляла на сайт с эксплойтом 0-day уязвимости. Следует оговориться, что это краткое описание не даёт полного представления о том, сколько усилий потребовалось, чтобы найти подходящий веб-сайт для взлома, а затем встроить в схему 0-day уязвимость. Имя владельца взломанного веб-сайта до сих пор не предано огласке. То, как удачно эта группа подгадала время для эксплуатации 0-day уязвимости, вполне может указывать на высокий профессионализм этой группы. За весь мой десятилетний опыт изучения shellcoding-методов, я не припомню, чтобы CreateRemoteThread использовался в качестве носителя полезной нагрузки  в сколько-нибудь значимом эксплойте, сообщает securelist.com.

Обновление MS013-088 также входят патчи сразу к восьми уязвимостям в Internet Explorer. Без сомнений, эти патчи организациям нужно ставить немедленно – проблемы с нарушением целостности оперативной памяти чреваты эксплойтами. Из восьми CVE, несколько имеют отношение к серьезным проблемам с «раскрытием информации», из-за которых авторы эксплойтов могут внедрять код экплойтов глубже в адресное пространство процесса.

И наконец, Microsoft неожиданно патчит код в конвертере WordPerfect "wpft532.cnv" из-за проблемы переполнения стека CVE-2013-1324. Благодаря этой уязвимости возможны атаки направленного фишинга (spearphishing) на пользователей всех версий Windows, хотя на некоторых 64-битных платформах этот компонент может отсутствовать. Я не ожидал, что мне придётся в конце 2013 года писать об уязвимости переполнения стека в коде от Microsoft, но такова жизнь.

Российским телеграм-каналам открыли вывод TON за рекламу, но есть нюанс

Владельцы российских телеграм-каналов наконец получили возможность вывести заработанное на рекламе вознаграждение в криптовалюте TON через платформу Fragment. Кнопка работает, деньги вроде выводятся, но путь к ним похож на мини-квест.

«Код Дурова» описывает схему следующим образом. В статистике канала нужно открыть вкладку «Монетизация» и нажать «Получить на Fragment». Telegram покажет доступный баланс в TON, примерную сумму в долларах, а заодно напомнит про Telegram Stars (их предлагают вывести отдельно или пустить на рекламу).

Дальше пользователя перебрасывает на Fragment, где нужно аутентифицироваться и подключить TON-кошелёк. И вот тут кроется этот самый нюанс: без проверки личности клиента (KYC) деньги не отдадут.

Верификацией занимается сервис Sumsub. Владельцу канала придётся загрузить документ, пройти проверку с камерой и заполнить базовые персональные данные. После успешной проверки Fragment вернёт пользователя обратно в Telegram, где для финального подтверждения транзакции потребуется ввести облачный пароль от аккаунта.

Если все круги бюрократического TON-ада пройдены, криптовалюта отправляется на подключённый кошелёк сразу.

Telegram запустил программу монетизации весной: владельцам публичных каналов от 1000 подписчиков пообещали 50% дохода от рекламных показов. Павел Дуров не раз подчёркивал, что платформа честно делится выручкой с авторами.

Но, как обычно, мелкий шрифт решает всё. Выплаты начисляются только за рекламу, которую рекламодатель оплатил в TON. Кроме того, учитываются не все показы: просмотры пользователей из России, Украины, Израиля, Палестины и Германии в монетизацию не попадают.

RSS: Новости на портале Anti-Malware.ru