Newsgroup: it.comp.os.win.windows7
Titolo: [OT] BUG COLOSSALE: gestione file LINK

Scoperta una falla 0-DAY (ossia già usata per exploit) dove BASTA AVERE un
LINK in una cartella che si è GIA' INFETTI!!!!!
Ossia basta avere un link che il pc viene infettato se quel .link è
reindirizzato a un sito malware
LINK a YOUTUBE (ingrandire il video per capire... ossia appena la persona
RINOMINA il file link che è volutamente ERRATO, è già INFETTO!!!!)
http://www.youtube.com/watch?v=6304Q0YoiBg
SOLUZIONE:
per ora la patch non c'è, qui spiega come "pararsi il culo" in attesa
http://www.microsoft.com/technet/security/advisory/2286198.mspx
Che DISASTER...
TUTTE le VERSIONI DI WINDOWS!!!!
-- 
Don Fizzy © on GSX-R 750
       /)/)
     (  '.')
   o(_('')('')   That's all, folks!


forse non ho capito...ho preso un exe, l'ho messo in un sito. ho creato un 
link a quel exe sul mio desktop cambiando l'estensione in lnk_
ho aperto la shell..ho rinominato lnk_ con lnk come nel video...ma l'exe non 
è stato eseguito al momento della rinomina
il bug quale sarebbe? che rinominandolo è cose se ci si clickasse sopra? non 
mi pare
ho windows seven
 

 ho windows seven
Uhmm se la cosa è segnalata sul sito microsoft per TUTTE le versioni, 
qulacosa vorrà dire..
Bye
-- 
psss.: Se vuoi scrivermi in privato,
togli Sir. e cita il messaggio ; ]
[iMac 20" Leo@2,66]


cioè se non rinomini da shell il file lnk_ in lnk non succede nulla?

mi pare
No, se ho capito bene è una cosa simile all'anteprima che fa windows,
che consente al sito di destinazione di iniettare codice in memoria ed eseguirlo.

 mi pare
il bug è che, dato che ogni sito salva dati sul pc del visitatore (cosa 
frequentissima..basti pensare a quanta immondizia viene salvata nella 
cache), basta che vi sia un sito che salva questo file lnk (su cui c'è 
del codice che sfrutta una vulnerabilità) ed ecco che viene 
autoeseguito. Nel momento che tu hai un file lnk che viene auto-lanciato 
senza che tu lo voglia, sei già nel sacco.
Saluti
RIC

 ha scritto nel messaggio 
news:MPG.26af2ce6f...@news.albasani.net...

domanda A: per quale assurdo motivo dovrei avere un link con estensione 
cambiata nel mio pc?
domanda B: per quale assurdo motivo dovrei andare a rinominarmi un link?
domanda C:supposto che faccio sia A che B...che c***o fa l'antivirus? dorme? 
è come se andassi direttamente con il browser nel sito e a questo punto pure 
gli antivirus gratuiti hanno una sorta di link scanner che lo blocca
nel video infatti non vedo alcun antivirus installato
ma probabilmente non ho capito nulla io di questa vulnerabilità...a me pare 
identica all'autoplay quando si mette una chiavetta nel pc
ciao
 

Rispondo qui sotto a filippo che ha scritto:

Il problema è del tutto diverso, tu non devi rinominare nulla.
Nel filmato il link malformato era stato rinominato proprio per NON 
farlo riconoscere come link e quindi si partiva da una situazione 
sicura. Poi, è stato sufficiente rinominarlo come link (proprio per 
farlo riconoscere da windows come un normalissimo link) per fargli fare 
i suoi danni.
La pericolosità del bug sta proprio nel fatto che tu scarichi senza 
saperlo un link malformato e ti ritrovi ad eseguire il payload del link 
malizioso senza poter fare nulla.
A meno che tu non metta in atto uno dei 2 workaround consigliati da 
Microsoft.
Io ho optato per disabilitare il servizio WebClient.
ArchiPit


Cioe' ?
Spiega meglio, questo servizio si puo' disabilitare
e che inconvenienti da' se disabilitato?
Grazie 


sul mio pc tale servizio lo vedo disabilitato di default (windows 7 premium)
lo stesso sul portatile. quindi sono tranquillo?
ciao
BFS


http://www.microsoft.com/technet/security/advisory/2286198.mspx
Lì è detto tutto, compreso eventuale impatto.
ArchiPit

*dross* sputacchio':
[...]
| | cioè se non rinomini da shell il file lnk_ in lnk non succede nulla?
QUEL file era stato VOLONTARIAMENTE scritto di estensione ERRATA per far 
vedere, al momento della sua correzione, che si è SUBITO INFETTI. Capito? Se 
il link al malware lo hai, appena lo visualizzi sei già infetto. Pensa ai 
link che potresti succare navigando su siti "particolari" oppure che stiano 
in un bel file ZIPPATO o chissà dove...
Appena ARRIVI a vederlo (esplora risorse) sei già INFETTO.
Capito?
Disabilita il servizio web Client in attesa della patch.
Ciao



ok, grazie
ma a che serve togliere il disegnino dell'icona nei collegamenti? ad 
accorgermi che non devo cliccarci sopra?


 
In realtà il pericolo più grosso non viene dal web, ma dai soliti 
supporti rimovibili tipo USB Pen, Hard disk esterni, CD, DVD contenenti 
file di dati  ecc. ecc. 
È importante segnalare dal documento Microsoft:
Mitigating Factors
Mitigation refers to a setting, common configuration, or general best-
practice, existing in a default state, that could reduce the severity of 
this issue. The following mitigating factors may be helpful in your 
situation:
An attacker who successfully exploited this vulnerability could gain the 
same user rights as the local user. Users whose accounts are configured 
to have fewer user rights on the system could be less impacted than 
users who operate with administrative user rights.
In soldoni, non disattivate l'UAC, ma invece elevate al massimo il 
livello di intervento. Per gli OS precedenti a Vista, usare 
tassativamente account utente limitato .
-- 
Ciao, Guglielmo.

*dross* sputacchio':

NO. Era solo per farti vedere cosa succedeva APPENA il file fosse 
estensionalmente CORRETTO.
Ossia se prendi un file word, esso ha l'estensione .DOC se fosse rinominata 
(mettendo visibile le estensioni) in .DOK non vedresti l'icona W di word, ma 
appena la rinomini in .DOC ti appare. L'esempio era simile, ossia rinominare 
l'estensione del file link (da ERRATO a CORRETTO)  e appena è stato 
rinominato correttamente (il file link), se esso punta a un sito malware, 
SEI INFETTATO.


*Pinotto* sputacchio':
[...]
| | | il bug quale sarebbe? che rinominandolo è cose se ci si clickasse
| | | sopra? non mi pare
| |
| |
| |
| | No, se ho capito bene è una cosa simile all'anteprima che fa
| | windows,
| | che consente al sito di destinazione di iniettare codice in memoria
| | ed eseguirlo.
ESATTO. Ed è IMO, di una gravità inaudita se non si rimedia SUBITO!
Internet è _LINK_ !!!!!


"ArchiPit" <Bruram48CheOreSono?@LeTreDiNotteVirgilio.it> ha scritto nel 
messaggio news:mn.a3f97da77...@LeTreDiNotteVirgilio.it...

Ma io l'inglese non lo capisco, speravo mi facessi un sunto....
 

*La Sgorbia* sputacchio':
[...]
| | Ma io l'inglese non lo capisco, speravo mi facessi un sunto....
Disabilita il servizio WebClient (che riattivi a patch avvenuta) e devi 
cancellare una chiave (MA a patch avvenuta va RIMESSA, quindi va bachuppata)
      1.
     Click Start, click Run, type Regedit in the Open box, and then click OK
      2.
     Locate and then click the following registry key:
      HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler
      3.
     Click the File menu and select Export
      4.
     In the Export Registry File dialog box, enter LNK_Icon_Backup.reg and 
click Save
      Note This will create a backup of this registry key in the My 
Documents folder by default
      5.
     Select the value (Default) on the right hand window in the Registy 
Editor. Press Enter to edit the value of the key. Remove the value, so that 
the value is blank, and press Enter.
      6.
     Restart explorer.exe or restart the computer.


 sicuro. 
Allora non hai capito nulla :-P
Quando accedi TU al contenuto tramite la shell di Windows scatta l'exploit,  
non serve nessun autorun.
-- 
Ciao, Guglielmo.

 bachuppata)
Questo anche per xp pro?
-- 
Saluti da Drizzt.
-- 
I nostri cervelli corrono
piu' velocemente dei nostri
cuori,
la scienza si lancia in avanti e
le anime restano indietro.
Per tenersi informati:
http://www.ravennapuntoacapo.blogspot.com
http://www.ravennapuntoacapo.it/

 
http://www.microsoft.com/technet/security/advisory/2286198.mspx
Date anche un occhiata qui: 
http://social.microsoft.com/Forums/it-IT/windows7italian/thread/615f2eb7-40f4-43b0-9165-12e5679effa7
Ciao e non siate così pessimisti... basta qualche sega in meno e ci guadagna 
la vista.....
Umbo.
-- 
La vita è dura quando passi gli 80 specialmente se c'è una macchina della 
polizia dietro di te. 

*Drizzt do' Urden* sputacchio':
| | Don Fizzy wrote:
| | | *La Sgorbia* sputacchio':
| | |
| | | [...]
| | |
| | | | | Ma io l'inglese non lo capisco, speravo mi facessi un
| | | | | sunto....
| | |
| | | Disabilita il servizio WebClient (che riattivi a patch avvenuta) e
| | | devi cancellare una chiave (MA a patch avvenuta va RIMESSA,
| | | quindi va bachuppata)
| |
| |
| |
| | Questo anche per xp pro?
Credo per tutti....


*Guglielmo* sputacchio':
| | "Don Fizzy" <charliecanc...@interfree.it.invalid> wrote in
| | news:4c45d74b$0$18992$
4faf...@reader5.news.tin.it
:
| |
| | | Beh, certo, ma per le pendrive , HDD esterni & CO basta usare
| | | Flash Disinfector (che crea una cartella autorun.inf
| | | INCANCELLABILE e quindi il virus non potendo ricreare il file
| | | autorun.inf NON esegue AUTOMATICAMENTE il malware che si pu.
| | | cancellare senza problemi. Lo allego al post. Usatelo su TUTTE le
| | | periferiche USB e starete al sicuro.
| |
| |
| | Allora non hai capito nulla :-P
| |
| | Quando accedi TU al contenuto tramite la shell di Windows scatta
| | l'exploit, non serve nessun autorun.
Io sulle pendrive e hdd esterni accedo _SEMPRE_ tramite tasto Destro e poi 
esplora, non faccio partire NULLA di automatico e non scatta nessun exploit: 
se ci cliccavo 2 volte sopra ovviamente mi sarei _potuto_ infettare.


 se ci cliccavo 2 volte sopra ovviamente mi sarei _potuto_ infettare.
Non č cosě che funziona... per *tu* non si intende tu come persona,
volontariamente, cliccando o aprendo un file. Si intende il tuo sistema
operativo. Anche solo per leggere la lista dei file nella directory deve
per forza accedere al disco. Se trova un file .LNK, per poterne leggere
l'icona, accede al contenuto di quel file, anche se tu non te ne accorgi.
Ed č lě che ti fotte...
*************
Discorso separato, per quanto simile, per quel che riguarda i famosi
file autorun.inf: nel momento stesso in cui infili una chiavetta USB
(ma non solo in quel caso) il S.O. cerca un file con quel nome;
se lo trova lo apre e cerca di interpretarne il contenuto, se ci trova
un riferimento ad un eseguibile lo avvia... in questo caso la cosa
piů semplice da fare č fare in modo che il sistema non sappia
cosa fare anche se trova un autorun, quindi sia costretto ad ignorarlo.
Vedi questo thread:
http://groups.google.it/group/it.comp.sicurezza.virus/msg/23286ff8c90f73c0?hl=it
Bye, G. 

 se ci cliccavo 2 volte sopra ovviamente mi sarei _potuto_ infettare.
come puoi ben vedere dal video non occorre fare 2 click sul file lnk per 
vederselo avviato

 ma probabilmente non ho capito nulla io di questa vulnerabilità...
eh, questa è la cosa piu' probabile ;)
Saluti
RIC

*RIC* sputacchio':

Certo RIC, se intendevi il .lnk sono fottuto in partenza (ma ho usato i 
"rimedi" in attesa della patch) mentre mi riferivo ai virus classici delle 
pennette.
ciao


*Paperino* sputacchio':
| | "Don Fizzy" ha scritto
| | | *Guglielmo* sputacchio':
| | | | | "Don Fizzy" wrote
| | | | | | Beh, certo, ma per le pendrive , HDD esterni & CO basta
| | | | | | usare Flash Disinfector (che crea una cartella autorun.inf
| | | | | | INCANCELLABILE e quindi il virus non potendo ricreare il
| | | | | | file autorun.inf NON esegue AUTOMATICAMENTE il malware che
| | | | | | si pu. cancellare senza problemi. Lo allego al post.
| |
| | Ovviamente questo post è stato segato, fra l'altro: non si possono
| | fare allegati nei Ng non binari.
A me dà che c'è l'allegato (con un peso da 142 KB) boh
| | | | | |  Usatelo su TUTTE le periferiche USB e starete al sicuro.
| | | | | Allora non hai capito nulla :-P
| | | | | Quando accedi TU al contenuto tramite la shell di Windows
| | | | | scatta l'exploit, non serve nessun autorun.
| | | Io sulle pendrive e hdd esterni accedo _SEMPRE_ tramite tasto
| | | Destro e poi esplora, non faccio partire NULLA di automatico e
| | | non scatta nessun exploit: se ci cliccavo 2 volte sopra
| | | ovviamente mi sarei _potuto_ infettare.
| |
| | Non è così che funziona... per *tu* non si intende tu come persona,
| | volontariamente, cliccando o aprendo un file. Si intende il tuo
| | sistema operativo. Anche solo per leggere la lista dei file nella
| | directory deve per forza accedere al disco. Se trova un file .LNK,
| | per poterne leggere l'icona, accede al contenuto di quel file,
| | anche se tu non te ne accorgi. Ed è lì che ti fotte...
Ma lo sò di quello, ne ho parlato proprio con sto 3ad!
| | Discorso separato, per quanto simile, per quel che riguarda i famosi
| | file autorun.inf: nel momento stesso in cui infili una chiavetta USB
| | (ma non solo in quel caso) il S.O. cerca un file con quel nome;
| | se lo trova lo apre e cerca di interpretarne il contenuto, se ci
| | trova un riferimento ad un eseguibile lo avvia... in questo caso la
| | cosa
| | più semplice da fare è fare in modo che il sistema non sappia
| | cosa fare anche se trova un autorun, quindi sia costretto ad
| | ignorarlo.
Autorun disabilitato (con i Powertoys) e buonanotte.
Cià


 Autorun disabilitato (con i Powertoys) e buonanotte.
Eccone un altro che non apre i link... :-/
In certi casi potrebbe non funzionare o non bastare. Nel thread
che ti ho segnalato ci sono i riferimenti.
Bye, G.

 Autorun disabilitato (con i Powertoys) e buonanotte.
Powertoys che a distanza di anni ancora vanno strabenissimo :)
Bye
-- 
psss.: Se vuoi scrivermi in privato,
togli Sir. e cita il messaggio ; ]
[iMac 20" Leo@2,66]

 pennette.
ah ok scusa, ho letto male
Saluti
RIC