Internet Explorer sotto attacco

In queste ore l’attenzione della comunità degli esperti di sicurezza si è focalizzata su una nuova vulnerabilità zero day di Internet Explorer. Il motivo di tanta attenzione è che la debolezza non solo è priva di patch ma è già divenuta il bersaglio prediletto di cracker e malware di vario genere.

La falla è causata da un errore di buffer overflow nella libreria Vgx.dll di Windows, che implementa il linguaggio aperto XML-based VML (Vector Markup Language). La vulnerabilità, confermata da Microsoft in questo advisory , può essere sfruttata da malintenzionati per eseguire del codice da remoto ed eventualmente ottenere il pieno controllo del sistema vittima . Sono a rischio tutte le versioni ancora supportate di Windows, incluso Windows XP SP2 con tutte le ultime patch di sicurezza.

Alcuni esperti sostengono che questa libreria non è utilizzata solo da IE, ma anche da Office 2007 e da altre applicazioni di terze parti. Per il momento, tuttavia, gli exploit in circolazione fanno esclusivamente leva su IE e, per funzionare, necessitano che l’esecuzione di codice JavaScript sia consentita. Ne consegue che, in attesa della patch, uno dei primi modi per proteggersi è proprio quello di disattivare in IE l’esecuzione degli script. Questo workaround potrebbe però non funzionare con i futuri exploit: secondo quanto spiegato da alcuni esperti, infatti, per sfruttare la vulnerabilità non è necessario ricorrere a JavaScript.

Sarebbero già oltre una dozzina , stando a varie fonti, i siti web che utilizzano la falla VML di Windows per installare codici dannosi nei PC: tra questi si contano worm, cavalli di Troia, downloader, spyware e keylogger, la maggior parte dei quali finalizzati al profitto. La società di sicurezza Websense sostiene che la rapida diffusione di questi attacchi è favorita dalla recente inclusione dell’exploit della nuova falla in WebAttacker , un toolkit di origine russa che semplifica la creazione e la diffusione di malware.

Uno dei primi codicilli malefici ad aver sfruttato la breccia di IE è il cavallo di Troia Vimalov , che i principali antivirus sulla piazza hanno cominciato a riconoscere soltanto da ieri. Chi teme di essere stato infettato può controllare il proprio PC avvalendosi del servizio gratuito Windows Live OneCare di Microsoft (richiede l’uso degli ActiveX).

Tra le altre soluzioni temporanee proposte dagli esperti per proteggersi dalla vulnerabilità vi è la disattivazione della libreria vgx.dll : per farlo occorre cliccare sul menù Start , Esegui… e digitare la seguente stringa:
regsvr32 -u “c:ProgrammiFile ComuniMicrosoft SharedVGXvgx.dll” (cambiare la lettera dell’unità se Windows è installato in una partizione diversa da c: ).
Una volta dato l’Ok, nessun programma (inclusi i malware!) potranno più utilizzare questo file.

Altri workaround vengono fontiti nell’advisory di Microsoft e in questo advisory di SANS Institute, in cui si raccomanda anche agli utenti di non aprire siti web dalla dubbia affidabilità. Della vulnerabilità si sono occupati praticamente tutte le società e gli organi dediti alla sicurezza informatica, tra cui FrSIRT , Secunia , US-CERT , ISS e Sunbelt Software : quest’ultima è la società che per prima ha reso il problema di pubblico dominio. Un po’ tutte le organizzazioni sono state concordi nell’assegnare alla falla il massimo livello di pericolosità .

Attualmente Microsoft sta testando una patch che potrebbe rilasciare il prossimo 10 ottobre, in occasione della pubblicazione dei suoi bollettini mensili di sicurezza, oppure, come si legge nell’advisory di BigM, “anche prima, in base alle esigenze dei nostri clienti”. Molti ritengono assai più probabile quest’ultima ipotesi, vista la rapida crescita di minacce che sfruttano il bug.