Ejecución silenciosa de archivos en "Sitios de confianza"

Ejecución silenciosa de archivos en "Sitios de confianza"
	VSantivirus No. 1270 Año 8, lunes 29 de diciembre de 2003 Ejecución silenciosa de archivos en "Sitios de confianza" http://www.vsantivirus.com/vul-trusted-sites.htm Por Jose Luis Lopez videosoft@videosoft.net.uy Ha sido reportado un método para explotar la configuración por defecto de "Sitios de confianza", y facilitar la instalación y ejecución de archivos, en el Internet Explorer. Un usuario remoto podría crear un archivo HTML que provoque la descarga y ejecución arbitraria, en forma totalmente silenciosa, de un programa en la máquina del usuario. Esto puede incluir cualquier clase de virus, gusano o troyano. El HTML debería estar en la máquina local, para que la víctima, al abrir un enlace, provoque la ejecución. Pero esto también puede hacerse a través de una página web de un sitio marcado como seguro, y puesto dentro de la lista de "Sitios de confianza", en el momento en que dicha página es visualizada, ya que ésta se carga en el área de archivos temporales de Internet. Sin embargo, debe apelarse a otras suposiciones. Por ejemplo, debe existir un fallo del tipo "Cross-Site Scripting" (XSS), en el sitio web marcado como seguro. Una vulnerabilidad de este tipo, es aquella que permite a un atacante introducir en el campo de un formulario o código embebido en una página, un script (perl, php, javascript, asp) que tanto al almacenarse como al mostrarse en el navegador, puede provocar la ejecución de un código no deseado. En ese caso, un usuario remoto puede desplegar un HTML conteniendo una etiqueta del tipo "<object classid= codebase= >", para instalar un ejecutable dentro de una zona de seguridad determinada, en forma arbitraria. Según el informe, si el sitio (que debe tener una vulnerabilidad XSS), se encuentra marcado como normal, y por lo tanto está en la zona "Internet", el usuario recibe un mensaje donde se le solicita la instalación del ejecutable. Pero si se encuentra en la zona de "Sitios de confianza", según el informe, la instalación se realizará sin advertencia alguna. El ejecutable sería instalado en el directorio de archivos temporales de Internet, asociado con la zona de seguridad correspondiente. En el informe, se habla de poder incluir cualquier clase de dominio dentro de un probable exploit. De ese modo, cualquier dominio dentro de la lista de sitios de confianza, podría ser explotado para la ejecución de archivos en forma silenciosa, con tal que el sitio al que pertenece el dominio, tuviera una vulnerabilidad del tipo XSS. Sin embargo, esto puede evitarse si se configura el Internet Explorer tal como lo indicamos en nuestro artículo "Configuración personalizada para hacer más seguro el IE", http://www.vsantivirus.com/faq-sitios-confianza.htm (que reeditamos en este número con un nuevo título, por la importancia que esta configuración posee hoy día, más allá de un simple bloqueo para molestas ventanas emergentes). A pesar de que justamente la configuración allí sugerida, se basa en el uso de "Sitios de confianza" para asignar los dominios por los que acostumbramos navegar, y que consideramos seguros, hay un importante detalle que hace que el exploit, tal como fue reportado, no pueda ser aplicado tan fácilmente. Esto es así, porque en la configuración tal como la sugerimos, lo primero que hacemos es cambiar el nivel de seguridad predeterminado de "Sitios de confianza" a "Mediano", en lugar de dejarlo en el nivel por defecto ("Bajo"), que es donde se puede descargar y ejecutar un archivo, sin pedirnos ninguna decisión de nuestra parte. En otras palabras, modificamos el comportamiento habitual de "Sitios de confianza", para convertirlo en la zona "Internet", y a ésta, la restringimos desactivando la configuración de ActiveX. Por lo tanto, sugerimos enfáticamente, que los usuarios que deseen estar un poco más protegidos (y de paso, evitar la ejecución de molestos POP-UPS), configuren las zonas de seguridad tal como se explica en el artículo mencionado. Relacionados: Configuración personalizada para hacer más seguro el IE http://www.vsantivirus.com/faq-sitios-confianza.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com