Newsgroup: it.comp.sicurezza.windows
Titolo: Vecchia falla Windows: decisamente inquietante.

http://punto-informatico.it/p.asp?i=45155
In pratica una vecchia falla, ufficialmente patchata è ancora terribilmente
aperta.
L'exploit (innocuo) lo trovate qui:
http://www.malware.com/badnews.html
Quello che fa preoccupare è il metodo utilizzato:
come al solito vengono raggirati in modo elementare i meccanismi di
protezione di IE sull'esecuzione di script.
Per fare ciò le hanno provate tutte e ogni fottuta volta ci sono riusciti
(credo che sia la 5° volta che si riesce ad eseguire script che in teoria
non possono essere eseguiti se non in locale).
Sembra quasi che la bestia (IE, che peraltro uso per svariati motivi) sia
indomabile e la sua fame di eseguire script con permessi locali sia più
forte della frusta dei programmatori della M$.
termoPilucco che vorrebbe la frusta e i programmatori M$.


che bel fuoooocoooo! Mcafeee me lo blocca se non gli dico di lasciarlo passare.

 che bel fuoooocoooo! Mcafeee me lo blocca se non gli dico di lasciarlo
passare.
Il problema č che dovrebbe bloccarlo (o meglio NON eseguirlo) IE.
Soprattutto in virtů della patch che prorio a questo doveva servire.
termoPilucco talvolta pensa che in M$ lo facciano apposta...

aperta.
Prendi REGEDIT, cerchi "WScript.Shell" e lo sostituisci con (poniamo)
"WScript.Puppa".
Non so cosa succeda a WindowsUpdate facendolo, e non mi prendo alcuna
responsabilita'.
Pero', se l'exploit continuasse a funzionare, sarei stupito.
Leonardo
-- 
the shadow of the dome of pleasure
floated midway on the waves,
where was heard the mingled measure
from the fountain and the caves.

 Pero', se l'exploit continuasse a funzionare, sarei stupito.
Quella particolare implementazione fallirebbe proprio nel lanciare
l'eseguibile, ma non nel copiarlo in locale.
Un'altra implementazione potrebbe cancellare/sovrascrivere con un exe a suo
piacere qualsiasi file non in uso.
Per evitare ciò bisognerebbe anche eliminare dal registro riferimenti
all'oggetto Scripting.FileSystemObject che però viene utilizzato da una
marea di applicazioni (IIS per dirne una).
Di mio ho semplicemente aggiunto un filtro a Proxomitron per intercettare e
rinominare le occorrenze di "object\sdata\s=" prima che arrivino a IE.
Il problema di fondo è che dovrebbe/potrebbe pensarci M$ ad impedire a IE di
eseguire un Vbscript del cavolo in un modo così stupido.
E se errare è umano la patch potevano farla funzionare, almeno.
termoPilucco che si ostina ad usare IE

 
http://www.malware.com/badnews.html
Lol...
http://www.malware.com/badnews.pho
-- 
Press any key to continue, or any other key to quit 
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

 
http://www.malware.com/badnews.html
Nav non me la fa neanche aprire :-|
Saluti, Anto
--
Allacciatevi alla vita. [Servizio Autostrade]
http://swpat.xsec.it/

 
http://www.malware.com/badnews.html
ma e' davvero innocuo?
sapete dirmi cosa fa esattamente questo script?
http://www.malware.com/badnews.php
e cosa fa il file m_a_l_w_a_r_e.exe creato?
grazie
Marco

Ero distratto ma  termopilucco, mi destò con queste parole:

Solita storia, come quella della patch che aggiustava un buco e ne apriva 
altri....roba di MS cmq, nel caso fortunatamente outpost mi segnala il 
programma e mi basta bloccarlo.

 e cosa fa il file m_a_l_w_a_r_e.exe creato?
il fuochino di cui sopra.
termPilucco.


nell'attesa che la M$ ponga rimedio una volta x tutte, si può disattivare:
plug-in ActiveX
bye bye
-- 
http://members.xoom.virgilio.it/_XOOM/eldoradocity/index.htm
Un'idea che non sia pericolosa, è indegna di chiamarsi idea.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

 plug-in ActiveX
cmq l'antivirus lo blocca.

 cmq l'antivirus lo blocca.
potresti dirmi se l'AV blocca il file 'm_a_l_w_a_r_e.exe'
prima che venga scaricato sull'HD, oppure l'av blocca
solo l'esecuzione?
bye
-- 
http://members.xoom.virgilio.it/_XOOM/eldoradocity/index.htm
Nulla è più pericoloso di un'idea, quando è l'unica che abbiamo.
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

 solo l'esecuzione?
Con Norton, la seconda che hai detto.


 
http://www.malware.com/badnews.html
[CUT]
Questo bug non funziona con OE aggiornato, anche avendo tutto abilitato:
    Il componente activex non può generare l'oggetto:
    "Scripting FileSystemObject"
Per quanto riguarda IE, funziona o meno in base alle impostazioni usate,
a me deve chiedere la conferma prima di eseguire plug-in e activex, e le
impostazioni le sceglie l'utente, non considero quelle di default.
Un browser che blocca tutto,  senza facoltà di scelta, io non lo userei.
P.S. - Chi ha provato l'exploit, come il sottoscritto, deve eliminare il
file m_a_l_w_a_r_e.exe dal system32.
-- 
     * b *
   *   y   *
 *   Piero   *
[ /ignorantia legis non excusat/ ]

 solo l'esecuzione?
A me sono scattati sia NAV che Zone Alarm e il file sul PC non c'e'.
Stef.

     "Scripting FileSystemObject"
A me non ha detto nulla del genere... e' intervenuto l'Antivirus + FW.
IE 6.0.2800.1106
OE 6.00.2800.1123
Che versione usi tu?
Stef_Ozzy

 Con Norton, la seconda che hai detto.
a me Norton blocca lo script e del file non trovo alcuna traccia nel mio
hdd.

 solo l'esecuzione?
Un "vecchio" McAfee NetShield 4.0.3a lo ha bloccato PRIMA che fosse 
scaricato.
-- 
			Luca Amicone
			Microsoft MVP
			ICQ: 14890779

 Che versione usi tu?
Le stesse tue, con tutti gli aggiornamenti.
-- 
!****** b ******!====================!           11 settembre 2001-3
!****   y   ****!====================!           ^^^^^^^^^^^^^^^^^^^
!**   Piero   **!====================!                 anch'io
!====================================!       mi sento a stelle e strisce

 
http://www.malware.com/badnews.html
Ok, mi avete fatto venire la curiosita'...
IE con richiesta di esecuzione sia script che activex, gli script gli
dico si, activex solo se so cosa sono, piu' McAfee VirusScan 7 in
modalita' paranoia [scansione di tutti i file + euristica, la mia cpu mi
odia...], piu' ad-watch e vediamo che succede:
1.
Accetto esecuzione di script ma non di ActiveX e vedo una bella
paginetta bianca, il resto tace.
2.
Accetto l'ActiveX, McAfee s'incazza come una iena, blocco lo script, mi
trova un file infetto nella temp [
qualcosa.com
], ad-watch tace quindi il
registro non viene toccato.
Avendo io notoriamente una Temp che fa invidia all'enciclopedia
britannica, me la scansiono, 700 e passa files, nessuno infetto.
Vero anche non attivo mai gli ActiveX :P
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~~ 
http://www.delymyth.net/DElyMyth.asc
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@delymyth.net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=

 Vero anche non attivo mai gli ActiveX :P
Blocca mcafee e fallo passare, è carino da vedere, poi quando lo ritieni
premi esc e provvedi a togliere dal system32, il file m_a_l_w_a_r_e.exe.
Il file è innocuo,  se vuoi togliere tutto,  apri i temporary ed elimina
il file badnews.php, quello che genera m_a_l_w_a_r_e.exe. ;-)


 disabilitare tutto e' una rottura di bolas :P
Vai tranquilla, ho controllato e nel registro non c'è alcun riferimento.
-- 
     * b *
   *   y   *
 *   Piero   *
[ /risus abundant in ore stultorum/ ]