Ataques usam arquivo do Word para explorar falha no Internet Explorer

quarta-feira, 25 de fevereiro de 2009

Como era esperado até mesmo pela Microsoft, uma das brechas corrigidas no navegador Internet Explorer na semana passada foi utilizada em alguns ataques contra alvos específicos esta semana. Embora os internautas em geral ainda não estejam em risco, isto também não deve demorar a acontecer. Também esta semana: evento testará segurança de navegadores e smartphones; pesquisadores quebram autenticação por reconhecimento de face. 

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras. 

 

>>> Criminosos utilizam brecha recém-corrigida do Internet Explorer

Diversas companhias de segurança, entre elas a Trend Micro e a McAfee, informaram esta semana que criminosos já estão tirando proveito de uma das brechas corrigidas pela Microsoft na semana passada no Internet Explorer. O ataque, quando realizado com sucesso, permite a instalação de códigos maliciosos no computador afetado. 

A brecha tem sido utilizada nos chamados “ataques direcionados” -- golpes com alvos específicos. Esse é geralmente o caso em tentativas de espionagem industrial, por exemplo. 

Para acionar o erro no Internet Explorer, criminosos criaram um documento malicioso no Word (.doc). Quando o Word processa o arquivo, um componente ActiveX falho do Internet Explorer é chamado, resultando na instalação de um cavalo-de-troia. Em uma situação normal, sem a vulnerabilidade, um arquivo .doc ou .html não seria capaz de executar códigos maliciosos no sistema. 

Não existem relatos de tentativas de explorar a falha por meio de sites maliciosos ou comprometidos para infectar internautas em geral. Os arquivos .doc infectados foram enviados por e-mail a um número restrito de destinatários, segundo a Trend Micro. 

A Microsoft corrigiu duas falhas críticas no Internet Explorer na terça-feira dos patches de fevereiro, que foi semana passada (9). Ambas receberam uma classificação de “1” no índice de exploração, que tenta prever se um código capaz de explorar o problema será criado ou não. O valor “1” é o mais grave, e significa que a vulnerabilidade certamente será explorada, como está acontecendo com esta. 

As atualizações do Windows, que eliminam as vulnerabilidades, podem ser feitas por meio do Microsoft/Windows Update (acessível pelo menu “Iniciar” do Windows) ou pelas atualizações automáticas, no Painel de Controle.

 

>>> Competição testará segurança de navegadores e dispositivos móveis

Organizadores da conferência de segurança CanSecWest estão preparando a terceira edição do “Pwn2Own”. No evento, o primeiro participante que conseguir acesso não-autorizado ao computador ou dispositivo poderá levá-lo para casa. Os navegadores web Firefox e Internet Explorer devem ser colocados lado a lado, de modo a testar qual resistirá mais tempo às constantes tentativas de invasão. Sistemas para smartphones, como o iPhone, Symbian e Android, do Google, também deverão participar este ano. 

Todos os computadores e dispositivos usados na competição são atualizados para eliminar quaisquer brechas de segurança conhecidas. Os competidores não podem se aproveitar de nenhuma brecha publicamente revelada para invadir os sistemas -- é necessário descobrir uma nova falha de segurança. 

No seu primeiro ano, em 2007, o Pwn2Own colocou dois MacBooks Pro no evento. Um deles poderia apenas ser acessado por alguma vulnerabilidade remota, sem interação do usuário. O outro poderia abrir páginas web enviadas pelos participantes, o que permitiu que os especialistas em segurança Dino Dai Zovi e Shane Macaulay usassem uma falha no QuickTime descoberta por Dai Zovi para obter acesso ao MacBook Pro -- e levá-lo para casa. 

No ano passado, a organização do evento decidiu testar a segurança de sistemas operacionais com três notebooks: um com Windows Vista, um com MacOS X e outro com Ubuntu Linux. No primeiro dia, apenas acesso remoto era permitido. No segundo, poderiam ser usadas vulnerabilidades em quaisquer programas da instalação padrão do sistema. No terceiro e último dia, aplicativos populares também poderiam ser instalados, para aumentar o número de possíveis falhas. 

O primeiro notebook a cair foi o Mac, dois minutos após o início da competição no segundo dia. Charlie Miller usou uma falha no navegador Safari, padrão do OS X, para realizar essa façanha. O Windows Vista sobreviveu ao segundo dia, mas caiu no terceiro, quando Alex Sotirov e Shane Macaulay -- mais uma vez -- usaram uma falha no Flash, da Adobe, para executar códigos de sua escolha no sistema. O Ubuntu resistiu aos três dias. 

Por envolver a descoberta de novas vulnerabilidades, a competição gera muita polêmica. Nas duas primeiras edições, foi patrocinada pelo Zero Day Initiative (ZDI), uma empresa de segurança da 3COM que realiza a comunicação de informações sobre falhas entre empresas desenvolvedoras de software e pesquisadores de segurança. 

A CanSecWest está marcada para os dias 16 a 20 de março, em Vancouver. 

>>> Pesquisadores quebram tecnologia de reconhecimento de faces

Um estudo descobriu maneiras de burlar a autenticação por reconhecimento de faces embutida em alguns notebooks Lenovo, Asus e Toshiba. Liderado pelo especialista em segurança vietnamita Duc Nguyen, os resultados da pesquisa foram apresentados na conferência de segurança BlackHat 2009, A apresentação, intitulada “Seu Rosto NÃO é sua senha” mostra como fotografias, e até mesmo imagens editadas, podem enganar o software de reconhecimento de face e dar acesso ao usuário incorreto. 

Os programas vulneráveis, segundo a pesquisa, são Veriface III, SmartLogon 1.0.0005 e Face Recognition 2.0.2.32. Para Nguyen, não há solução: as empresas devem informar aos seus clientes que usem outro sistema de autenticação, porque o reconhecimento de face é ineficiente. 

A conferência BlackHat Briefings DC 2009 ocorreu esta semana, nos dias 18 e 19, em Washington, nos EUA. 

Superteclado vira painel de controle em games no computador

terça-feira, 24 de fevereiro de 2009

'Belkin n52te' é usado junto ao mouse em jogos de tiro, ação e RPG.
Aparelho tem 15 botões e pode ser configurado livremente

O teclado bege padrão ABNT2 que digita este texto é altamente capacitado para tal função, mas ganha o certificado "impróprio para consumo e nocivo à saúde" quando o assunto são games no computador. 

 

Afinal, teclas como W, A, S, D e barra de espaço foram feitas para digitar, e não para sobreviver nas florestas de "Crysis" e prédios sujos de "Left 4 dead". 

 

Essa necessidade de adaptação para games de computador levou a indústria a criar acessórios específicos, considerados "de luxo" - dispensáveis para alguns, fundamentais para outros. O teclado "Belkin n52te" é uma dessas peças: design anatômico, botões por todos os lados e possibilidade de configurar as teclas para funções específicas.  

 

O acessório é conectado ao computador via USB e substitui o teclado tradicional nos games. Com a mão direita você controla o mouse, e com a esquerda domina o n52te para jogos de ação, tiro, estratégia e RPG.  

 

Um vulto azul 

O visual do Belkin n52te segue a linha dos produtos Razer, com o predomínio da cor preta e uma luz azul que acende em locais estratégicos, ajudando o jogador a se situar no "painel de controle" e localizar os botões. A luz tem intensidade fixa, mas pode ser desligada se você preferir.

O "faz tudo" da Belkin é bastante confortável, principalmente quando comparado aos tradicionais teclados de computador. A mão esquerda repousa na base do acessório, que oferece aderência suficiente para evitar deslizes durante os jogos. O polegar tem acesso à "barra de espaço" e ao direcional digital. Os outros dedos comandam as teclas numeradas na parte da frente.

 

Nos testes do G1, o teclado se saiu bem, principalmente, em jogos de tiro, como "Call of duty: world at war" e "F.E.A.R 2", e no RPG "Fallout 3". O controle agiliza lançamentos de granadas e outras tarefas "secundárias" em jogos de ação.  

 

 

Malabarismos

O formato do produto privilegia mãos grandes e pode exigir certo malabarismo dos jogadores não privilegiados nesse quesito. Mesmo assim, o Belkin é portátil o suficiente para acompanhar o jogador em viagens e competições. Basta ter um espaço a mais na mesa, ou simplesmente deslocar o teclado tradicional para algum canto.

 

A parte frontal do controle traz 14 botões numerados que podem ser configurados de acordo com a vontade do jogador. Em jogos de tiro, por exemplo, o comum é utilizar as teclas em "formato de cruz" para movimentar o personagem, e reservar os botões adjacentes para tarefas como acender lanterna e lançar granadas. O Belkin n52te facilita muito essas ações, mas exige adaptação nos primeiros 30 minutos.  

 O superteclado vem acompanhado de um software que permite configurar botões, salvar até três perfis diferentes e gravar sequências de teclas (macros) para automatizar tarefas que antes exigiriam muita digitação. É uma característica sem apelo em jogos de ação, mas bastante útil em RPGs online.

 

O botão direcional e a "barra de espaço", ambos dispostos para serem acionados pelo polegar, são pontos negativos no Belkin. O direcional não tem cliques precisos e é liso demais - ninguém quer acidentes em um jogo de tiro.

 

Já a barra de espaços fica na "traseira" do controle, muito distante dos outros botões e com um percurso de clique muito longo. Ou seja, não é um botão rápido como você gostaria que fosse, principalmente para tarefas ligeiras como pular obstáculos.

 

 

 

>>> Ficha - Belkin n52te

 

Seja você um jogador profissional ou amador, é altamente recomendável o uso de um teclado específico para games. O preço desses produtos "de luxo" não é dos mais acessíveis, mas depois de experimentar o conforto e praticidade de um multiuso gamer, você nunca mais vai encarar um teclado tradicional com a mesma confiança de antes.

 

Fabricante: Belkin/Razer

Preço sugerido: R$ 399 (US$ 69 nos EUA)

Compatibilidade: PC e Mac

Conexão: USB

 

Pró: conforto, opções de configuração dos botões, material de alta qualidade

 

Contra: preço, empunhadura não ambidestra, botão 'barra de espaço' fora de alcance

 

Repetição dita as regras em novo game de 'Senhor dos anéis'

sábado, 7 de fevereiro de 2009

'Conquest' coloca heróis e vilões em disputa pela Terra Média.
Combate limitado ignora o potencial da série.

Quando os produtores dos estúdios Pandemic prometeram que o jogo de ação "Lord of the rings - conquest" traria uma nova experiência no universo de "Senhor dos anéis", não estavam mentindo. A experiência é nova - mas também é repetitiva e limitada, a ponto de não sobreviver às primeira horas de aventura.

 

O jogo de ação leva heróis e vilões para o campo de batalha, "conquistar ou proteger" a Terra Média. E é praticamente apenas isso que você vai ter pela frente nas missões: conquistar um ponto X, defender um portão Y, atacar um determinado inimigo. Tudo burocraticamente demarcado por linhas, cronometrado por contagens regressivas e guiado por um narrador irritante.

 

"Conquest" está disponível para PC, Xbox 360 e PlayStation 3, é produzido pelos estúdios Pandemic e distribuído pela Electronic Arts.  

 

Google trabalha em ferramenta global para vigiar desmatamento

Objetivo é fortalecer programas de conservação em todo o planeta.
Chamada inicialmente de Google Forest, novidade foi anunciada no Inpe.

O gigante de buscas Google está empenhado em criar uma ferramenta inédita para monitorar a conservação de florestas de todo o planeta.

 

A revelação foi feita nesta sexta-feira (6) por uma representante da empresa em reunião científica no Instituto Nacional de Pesquisas Espaciais (Inpe), em São José dos Campos (SP). A proposta é integrar bases de imagens de satélite e diferentes tecnologias de monitoramento para que os países interessados possam usá-las livremente. 

O objetivo inicial da ferramenta é ser usado para calcular a quantidade de carbono contida nas florestas. Com isso, ela poderá ser usada em programas de conservação baseados em um sistema, ainda em negociação, pelo qual os países poderão receber dinheiro para manterem suas florestas em pé. Este sistema é chamado pelos especialistas de Redd (Redução de Emissões por Desmatamento e Degradação).

 

O carbono que forma as árvores, quando liberado para a atmosfera com queimadas, por exemplo, contribui para o aquecimento global. Este é um importante fator para se combater o desmatamento. 

Por meio das imagens de satélite, os cientistas esperam poder calcular quanto carbono há na floresta em pé e quanto foi liberado para a atmosfera pelo desmatamento.

O projeto do Google foi apresentado por Rebecca Moore, que gerencia um programa chamado Google Earth Outreach. Essa iniciativa ajuda ONGs e comunidades locais a usar ferramentas de mapeamento e a combater problemas ambientais. Especialistas de mais de 30 países participaram da reunião em que a gerente do Google fez o anúncio.

O Brasil tem a tecnologia mais avançada no campo de detecção de desmatamento por satélite, mas outros países, em especial os mais pobres, muitas vezes sequer têm acesso a imagens de satélite de seu território. 

Moore pediu aos cientistas presentes que ajudem no desenvolvimento da ferramenta. Ela ressaltou que o projeto ainda está em estágio inicial. Mesmo assim, disse que espera “ter um protótipo ainda este ano”. Um provável nome para a ferramenta é Google Forest. 

A ONG Instituto do Homem e Meio Ambiente da Amazônia (Imazon), que acompanha o desmatamento na região amazônica, está envolvida na iniciativa. A ideia da ferramenta surgiu em uma oficina realizada em Brasília, em junho, conta Carlos Souza Júnior, secretário-executivo da organização. “Pensamos que o Google poderia ajudar porque um dos maiores problemas que enfrentamos nesta área é ter que lidar com um volume brutal de dados”, explica. 

A ONG Instituto do Homem e Meio Ambiente da Amazônia (Imazon), que acompanha o desmatamento na região amazônica, está envolvida na iniciativa. Carlos Souza Júnior, secretário-executivo da organização, conta que a ideia surgiu em uma oficina realizada em Brasília, em junho passado. "Pensamos que o Google poderia ajudar porque um dos maiores problemas que enfrentamos nesta área é ter que lidar com um volume brutal de dados", explica.