Newsgroup: it.comp.sicurezza.windows
Titolo: Bello!

Il sito 
windowsupdate.microsoft.com
, che _non_ e' fra i miei siti
affidabili (IE5.5, protezione massima)... mi ha installato fresco
fresco il file "wuv3is.dll" in %SYSTEM%. Cosi' afferma wintpw, ed
io sono propenso a fidarmi (sul CD di backup non c'e').
Non che mi dia fastidio; immagino che non mi metterebbero mai una
porcheria sull'HD di proposito.
Pero', evidentemente ESISTE un metodo per spedire files in questo
modo occulto ad un IE5.5 configurato paranoico. E finche' solo MS
lo conosce, a me starebbe pure bene...
Dubbio: se questa stessa cosa succede a qualche marpione che, per
esempio, ripristina Windows da un backup - in modo da RIPETERE l'
aggiornamento - ma la seconda volta sniffa tutto quello che viene
inviato da WindowsUpdate, il marpione scopre come inviare qualche
parola magica e FORSE fare dei danni.
+++
Tanto per chiarire: se uno si trova, o non si trova, "wuv3is.dll"
in C:\WINDOWS\SYSTEM, non e' che "e' vulnerabile" o "e' sicuro" o
"ha un virus" o altro. Tutto questo non c'entra *MINIMAMENTE*. Il
discorso e' un altro: se quel file e' arrivato da WindowsUpdate e
non ha attivato nessun allarme, dialog box, conferma o che, vuole
dire che E' POSSIBILE SPEDIRE FILE senza nessun allarme, conferma
o che. La prossima volta - che ne' io, ne' voi sappiamo quando si
verifichera', o se, o da dove...
Peccato che Opera sia ancora un pochino buggato, se no...
Leonardo
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 porcheria sull'HD di proposito.
----cut-----
Aspetta... Ma gli upgrade di windows non avvengono in modalita'
installazione di un .exe ?....
Anche se a dire il vero il controllo che effettua per verificare la presenza
di aggiornamenti č quanto meno sospetto.. Ho visto partire .js qui e la'...
Cmq sia spero che ms utilizzi un sistema di criptazione nell'invio del
file,anche se a dir la verita' non ho mai visto un https...... mahhh
--
bismark
www.bismark.it

 lo conosce, a me starebbe pure bene...
Ma come hai fatto a fare windowsupdate con la protezione su _paranoid_ (alta)?
Dovrebbe funzionare solo con la protezione media, altrimenti non ti apre
neanche la pagina giusta.
E comunque devi sempre dirgli 'si mi piace il tuo certificato', 'si, accetto',
'grazie, ma è proprio sicuro?', 'ma si figuri' ... prima che l'ActiveX cominci
a scaricare e installare. E a questo punto scarica e installa quello che
vuole, anche file nuovi.
O mi sono perso qualche passaggio?
Comunque devo giusto windowsupdatare un paio di windows 2000:  provo ad
annusare cosa succede.
Fabio

 file,anche se a dir la verita' non ho mai visto un https...... mahhh
La comunicazione no è criptata. Però i file scaricati sono firmati e la firma
viene quasi sempre controllata. Alcuni file Ii gmg ad esempio) sembrano
criptati (ma non ho trovato lo scambio di chiavi) o solo compressi con
qualcosa di diverso dai cab, non ho verificato. Il protocollo comunque è
sempre HTTP.
Ammetto di non aver fatto controlli approfonditi: ho solo cercato di capire
perche windowsupdate passava attarverso le acl del mio proxy.
Fabio

installazione di un .exe ?....
Si'. Infatti, DOPO che avevo selezionato tutto e detto "OK", mi ha pure
spedito un EXE. E DOPO che gli ho detto "OK, abilita l'ActiveX", non ha
fatto problemi a farmi comparire "Nessuna informazione riservata...".
Il problema e' che, PRIMA di questo e SENZA che dicessi nulla, o avessi
sentore della cosa, un file .DLL che prima non c'era e' comparso in una
directory di sistema.
Quindi evidentemente esiste un sistema "confermereccio" che e' usato da
Microsoft per mandare l'EXE, ma esiste un ALTRO sistema (o un parametro
tipo ShowConfirm=NO o chissacche') per inviare una .DLL senza che io ne
abbia alcun sospetto [1].
Leonardo
[1] tranne che anche solo soffiarsi il naso in alcune directories causa
    un'immediata levata di scudi :-)


vuole, anche file nuovi.
Yes. Il fatto e' che, come che sia, il file e' comparso *PRIMA* che mi
fosse chiesto alcunche'.
Puo' esserci qualche settaggio nascosto di tipo "Scarica aggiornamenti
di Windows Update solo da 
www.microsoft.com
 senza conferme". Spero.


 wrote:
Aggiornamenti:
	Quel file fa parte, naturalmente, di Windows Update Package. Il
	file non e' stato aggiunto ma sostituito; ce n'era un altro, ma
	indicato come WUV3IS.DLL e non "wuv3is.dll" (e questa mi sa che
	e' una ditata che ho tirato io...).
	Comunque, aggiunta, o sostituzione, capisco il motivo (il nuovo
	file e' appunto piu' nuovo) e ho trovato anzi varie pagine, con
	Google, dove si spiega cos'e' questo file e come RIscaricarlo.
 
http://www.elementkjournals.com/w9p/0008/w9p0082.htm
	...quindi appena ho due minuti lo risostituisco con la versione
	precedente, me lo fo rimandare e sto a vedere cosa succede.


 precedente, me lo fo rimandare e sto a vedere cosa succede.
Il file in oggetto si trova nel file actsetup.cab che viene scaricato da uno
script all'avvio di windowsupdate. Il file viene scaricato e poi viene
controllata la firma: se è valida viene installato il contenuto del pacchetto
altrimenti l'operazione fallisce. Se hai già accettato di considerare validi
tutti i pacchetti firmati con il certificato x.509 di microsoft allora non ti
viene più richiesta, ogni volta, l'autorizazione ad installare. Probabilmente
è la tua situazione.
Io ho rimosso il certificato di Microsoft e mi ha chiesto l'autorizazione
all'installazione.
In ogni caso con l'alta protezione attivata non scarica niente se non la
pagina di alert che avvisa di cambiare le impostazioni del browser.
Se ti possono interessare ho le tracce di tcpdump delle sessioni.
Fabio

di Windows Update solo da 
www.microsoft.com
 senza conferme". Spero.
Trattasi, per caso, del famoso e inequivocabile RPCSS? :)
Roger K.
--------------------------------
Inviato via 
http://usenet.iol.it
 

 pagina di alert che avvisa di cambiare le impostazioni del browser.
Io pero' ho fatto prove solo con IE 6. Forse Ie 5.5 è diverso.
Fabio

 Peccato che Opera sia ancora un pochino buggato, se no...
io mi tengo i bugs di opera
-- 
http://werted.cjb.net

 io sono propenso a fidarmi (sul CD di backup non c'e').
Tutto ciò senza aver updatato alcunchè, ovvero semplicemente 
collegandosi al sito?
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

Trattasi, per caso, del famoso e inequivocabile RPCSS? :)
No. E' chiuso. Io temo sia un settaggio nascosto di Explorer.


viene più richiesta, ogni volta, l'autorizazione ad installare.
Bingo. Non l'avevo accettato io, ma la causa era quella.
Meno male, un pensiero di meno :-)


No. E'
chiuso. Io temo sia un settaggio nascosto di Explorer. 
Se non e'
nemmeno WUPDMGR.EXE allora AIUTOOOO!! :-)


 ha scritto nel messaggio
news:gajr1ukp065hu7v07...@4ax.com...
