Por segunda vez en seis semanas, Microsoft confirmo el dia de hoy que hackers estan explotando un bug in DirectX, esta vez atacando el navegador Internet Explorer (IE). El equipo de seguridad de la compañia ha emitido una advertencia este Lunes reconociendo reportes de los ataques y proveyendo mas informacion sobre las vulnerabilidades.
A comienzos del dia, investigadores de seguridad de dos firmas Danesas anunciaron que miles de sitios web legitimos hackeados durante el fin de semana se encontraban conduciendo ataques a usuarios de Internet Explorer explotando una vulnerabilidad critica en Windows DirectShow, parte de DirectX.
Hengyun Chu, del equipo de Microsoft Security Response Center expreso en un blog,
“Un ataque estilo browse-and-get-owned existe. Un usuario necesita ser atraido a navegar un sitio web malicioso o un sitio legitimo comprometido para ser afectado. Esa es toda la interaccion necesaria.”
Microsoft manifesto que usuarios utilizando IE6 o IE7 en Windows XP y Windows Server 2003 son vulnerables a los ataques, mientras que Windows Vista y Windows Server 2008 no estan en riesgo, asi como tampoco usuarios utilizando el navegador mas nuevo de Microsoft, Internet Explorer 8.
Si bien Microsoft ha prometido que parchara el bug, un vocero de la compañia evito anunciar si el parche estara listo para el 14 de Julio, que es cuando la proxima actualizacion de seguridad regular esta programada.
Mientras tanto, para proteger PCs en riesgo, Microsoft insto a los usuarios a configurar 45 “bits de eliminación” (metodo kill bit) en el control ActiveX deficiente que contiene la vulnerabilidad. Microsoft tambien admitio que ese control ActiveX no deberia haber sido utilizado por Internet Explorer.
Chu declaro que
“Hemos identificado que ninguno de los controles ActiveX alojados por msvidctl.dll son para ser usados en IE. Por lo tanto, recomendamos desactivar estos controles con el metodo kill-bit como practica de defensa. Los efectos secundarios son minimos.”
El desactivar controles ActiveX por el metodo kill bit puede ser peligroso, ya que involucra editar el registro de Windows. Microsoft previene de esto en su alerta:
“Si se utiliza el editor de registro de manera incorrecta, se pueden causar serios problemas que pueden llegar a hasta requerir que se reinstale el sistema operativo. El Editor del Registro debe ser utilizado a propio riesgo.”
Una manera de aplicar el metodo kill bits es ejecitando una herramienta descargable especial desarrollada por Microsoft, similar a la que desarrollo para la otra vulnerabilidad en DirectShow encontrada a fines de Mayo. La herramienta puede ser descargada desde el sitio de soporte de Microsoft.
Los usuarios de internet que no utilizan el navegador Internet Explorer 6 o 7, como por ejemplo Mozilla Firefox o Google Chrome, no deben preocuparse por los ataques.
More here:
Microsoft Confirma Ataques Contra Internet Explorer 6 y 7 | Noticias de Tecnologia
Leave a Reply