Компания «ВирусБлокАда» сообщает об обнаружении вредоносной программы, использующей новую уязвимость для своего распространения.

[ALEX(XX)]

http://www.securelist.com/en/blog/22...n_certificates ТАДАМЦ!

Хороните "белые списки". Вэлкам эвристика и сигнатуры

[rav]

Ну почему "хороните"? Те, что основаны на хешах, работают нормально.

[ALEX(XX)]

А ЭЦП, получается, доверять нельзя уже..

[Kuzz]

http://www.securelist.com/en/blog/22...n_certificates ТАДАМЦ!

Хороните "белые списки". Вэлкам эвристика и сигнатуры

А вот и русс: http://www.securelist.com/ru/blog/32...ye_sertifikaty

[Юльча]

а как работает эксплоит?

хотела глянуть что произойдет, но ничего не вижу

отображение ярлыков не отключала, службу webdav не останавливала

[rav]

Надо скачать DebugView и в нём уже смотреть вывод бибилотеки. Ещё одна особенность- dll.dll добжна быть помещена в c:\

[Kuzz]

Люди самостоятельно накатали патчик...

http://nemesis.te-home.net/News/2010...2_and_SP3.html

[Юльча]

Люди самостоятельно накатали патчик...

http://nemesis.te-home.net/News/2010...2_and_SP3.html

а чем он лучше утилиты от M$?

[Kuzz]

Тем, что это именно патч. Т.е. правит shell32.dll
Исходник в комплекте)

[Alexey P.]

Кто-нибудь проверял его, работает ?
Для вин2к - ХР до сп2 это, похоже, будет единственный правильный выход.

Добавлено через 29 секунд

Т.е. это установит пол-страны как минимум.

[Kuzz]

Надо бы разобрать, что оно изменяет/привносит..

Добавлено через 53 минуты

Хм, скорее всего там делается что-то подобное http://habrahabr.ru/blogs/infosecuri...omment_3081385

[ALEX(XX)]

Microsoft изменила ранее опубликованное уведомление безопасности, добавив два новых вектора эксплуатации уязвимости:

1. Internet Explorer. Злоумышленник может с помощью специально сформированного Web сайта заставить браузер пользователя загрузить иконку для ярлыка и выполнить вредоносный код на целевой системе.
2. Документы Office. Злоумышленник может встроить специально сформированный ярлык в документ Microsoft Office (или другого офисного пакета, поддерживающего работу со встроенными ярлыками) и скомпрометировать целевую систему.

Это говорит о том, что в скором времени можно ожидать распространение эксплоита через вложенные файлы в email сообщениях.

отседа

Добавлено через 1 минуту

PS: А тэпэр - ПРОПЭЛЛЭР!

[Alexey P.]

Да, дыру еще по сути не начали эксплуатировать, только засветили.
Есть время от недель до пары месяцев до эпидемии. Как обычно.

[Юльча]

Юльча, это баг в винде, дыра.. Поэтому сработает

судя из этого - не сработает..
только придется политику ужесточить

это с хабра по ссылочке Kuzz:

Еще по теме противодействия этой уязвимости можно почитать в блоге независимого исследователя Didier Stevens. Там описывается два способа:
1) Запрет автозапуска и выполнения исполняемых модулей с внешних носителей. Но это вас не спасет от возможности заражения с сетевых шар и WebDAV ссылки.
2) Установка Software Restriction Policies (SRP)

Добавлено через 10 минут

... хоть не придется на работе пользователям иконки резать ..

Добавлено через 47 минут

2. Документы Office. Злоумышленник может встроить специально сформированный ярлык в документ Microsoft Office (или другого офисного пакета, поддерживающего работу со встроенными ярлыками) и скомпрометировать целевую систему.

а openoffice работает со встроенными ярлыками?

[ALEX(XX)]

а openoffice работает со встроенными ярлыками?

А вот это и мне интересно знать...

[Kuzz]

И для тех, кто еще не видел, еще 3 части Мирт и гуава
http://www.securelist.com/ru/blog/34...guava_Epizod_3
http://www.securelist.com/ru/blog/34...guava_Epizod_4
http://www.securelist.com/ru/blog/34...guava_Epizod_5

[ALEX(XX)]

Юльча, на Инфре не Вы отписались в теме про ОО и ярлыки?

[Юльча]

я
для меня проблема тоже актуальна



зы.
и кстати нас там дружно "послали" на антивирусный форум

[ALEX(XX)]

упоротые какие-то. Я им про Ивана, они мне про барана

[Kuzz]

Уязвимость Windows, связанная с ярлыками, будет закрыта в понедельник 2 августа

Microsoft сообщает что нашумевшая уязвимость Windows, связанная с некорректной обработкой ярлыков, будет закрыта внеплановым обновлением в понедельник 2 августа. Бюллетень по поводу этой уязвимости был опубликован 16 июля.

technet.com