Бесплатный софт, вэб-сервисы, ресурсы по раскрутке и заработку, свежие номера журнала "Internet Zone". Посетите нас: http://www.izcity.com/ 

Будьте осторожны, когда загружаете почту!!!

В конце июля компания Microsoft выпустила специальный патч (заплатку) для защиты от нового вида взлома, атакующего семейство почтовых клиентов Outlook и Outlook Express. Этот способ атаки, запущенный в "производство" неделей раньше, позволяет мошенникам контролировать персональные компьютеры других пользователей, попросту засылая им электронную почту. До сих пор для того, чтобы впустить трояна в компьютер, пользователю надо было открыть вложение электронного письма. Теперь же достаточно разослать обычный спам, и тот, кто его получит, может подцепить троян уже в тот момент, когда зараженное письмо начнет загружаться на жесткий диск компьютера.

УЯЗВИМОЕ МЕСТО В ПРОГРАММАХ OUTLOOK EXPRESS И OUTLOOK БЫЛО ОБНАРУЖЕНО около месяца назад южноамериканской исследовательской группой, известной как USSR -- Underground Security Systems Research (Подпольное Исследование Систем Защиты), или "Лаборатория СССР". Оказалось, что брешь в защите есть у всех версий Microsoft Outlook и Outlook Express, которые, согласно данным ICSA, установлены почти у 100 миллионов пользователей.

Поскольку недостаток находится в программном компоненте, который совместно используется как Outlook Express, так и Internet Explorer, компания убеждает пользователей установить новую версию броузера для решения проблемы. В пятницу Microsoft выпустила автономную заплату для программы Outlook, работающей совместно с Internet Explorer 5.01, которая может быть загружена с http://www.microsoft.com/windows/ie/download/critical/patch9.htm. Автономной заплаты для старших разновидностей Outlook или Outlook Express все еще нет.

MSNBC.com узнала о существовании такой проблемы 11 июня, но, по просьбе "Лаборатории СССР", согласилась не предавать ее гласности, пока заплата не будет готова. Это стандартная практика производителей, призванная предотвращать возможный вред компьютерам пользователей. Однако в понедельник утром некто разослал детальное описание бреши в защите адресатам листа рассылки, посвященного проблемам сетевой безопасности, и Microsoft подтвердила существование бага. Поздно ночью в понедельник компания выпустила специальный бюллетень, содержащий инструкции пользователям по оперативному устранению бага и обещание работать над его окончательной ликвидацией.

Ответы на часто задаваемые вопросы по данной теме были выложены на сайте Microsoft, посвященном вопросам безопасности (Microsoft – партнер MSNBC).

Представитель "Лаборатории СССР" информировал MSNBC.COM, что его группа обнаружила способ добавления вредоносного кода к заголовкам, который выполняется, как только компьютер начинает загружать электронную почту. "Я рискну предположить, что данная проблема весьма велика, - сказал администратор листа рассылки NTBUGTRAQ Рас Купер (Russ Cooper), пристально следящий за багами в программах Microsoft.- Вирус Good Times --это реальность. Если бы вы раньше услышали об этом, вы бы ни за что не поверили".

Cooper вспомнил о старом компьютерном мифе, согласно которому единственное письмо могло уничтожить компьютер адресата: "Сейчас мы можем неожиданно получить от системы сообщение: "Ваш жесткий диск отформатирован согласно команде, принятой по электронной почте".

СЦЕНАРИИ ВЗЛОМА

Так как взломщик может иметь разный путь к компьютеру-жертве, существует несколько тревожных сценариев. Письмо может дать команду компьютеру на удаление всех файлов на его жестком диске, например. Может оно и скопировать важную информацию и отослать по электронной почте взломщику.

Кроме того, спаммер может прислать вам письмо, которое автоматически запустит Internet Explorer и переадресует его на нужный сайт. Однако это не саморазмножающийся вирус I LOVE YOU, который в начале этого года распространился по всему миру за 12 часов. Чтобы использовать эту брешь, взломщик должен преднамеренно послать специально сформированный код в заголовке письма по электронной почте. Однако никто не запретит хакеру использовать этот код в теле саморазмножающегося вируса.

ЗАЩИТА ВОЗМОЖНА

Единственная защита - установить заплату Microsoft, которая скоро будет общедоступна на сайте компании. "Угроза, конечно, серьезна", - сказал Стив Липнер (Steve Lipner), менеджер Отдела безопасности Microsoft. Пользователи могут установить автономную заплату, упомянутую выше, или воспользоваться новой версией Internet Explorer 5.01 с помощью Сервис Пака 1. Большинство пользователей Windows (но не пользователи Windows 2000) могут также загрузить и установить самую новую версию - Internet Explorer 5.5. Microsoft утверждает, что домашние пользователи рискуют больше всего, потому что взлом начнется, как только почта придет на компьютер, даже если пользователь и не открывает письмо.

Лучше всего просматривать заголовки сообщений на сервере, не перекачивая их на компьютер. Код заголовка зараженных писем будет чрезмерно велик, что можно заметить. Кроме того, некоторые специалисты предполагают, что для активации вируса необходимы определенные действия пользователя. Так, в Outlook Express необходимо открыть папку "Входящие", чтобы активировать вирус. В программе Outlook письмо надо прочитать, переслать или ответить на него, чтобы вирус смог активироваться. Правда, в опубликованном бюллетене говорится, что вирус начинает свою деятельность уже на сервере, даже не попав еще в ящик клиента. Так что можно представить себе всю серьезность угрозы...

Теперь предлагаем вашему вниманию дайджест официальных материалов Microsoft по данной проблеме. Оигиналы можно прочитать здесь:

http://www.microsoft.com/technet/security/bulletin/fq00-043.asp

http://www.microsoft.com/technet/security/bulletin/fq00-043.asp

БЮЛЛЕТЕНЬ ПО ВОПРОСАМ СЕТЕВОЙ БЕЗОПАСНОСТИ MICROSOFT (MS00-043)

Заплата для ликвидации бреши в системе защиты почтовых программ, названной "Malformed E-mail Header".
Первоначально опубликовано 18 июля 2000 г.
Обновлено 20 июля, 2000 г.

РЕЗЮМЕ

18 июля 2000 г. Microsoft выпустила первоначальную версию этого бюллетеня, в которой клиентам советовалось установить любой из двух сервисных пакетов, устраняющих баг в защите. 20 июля 2000 г. бюллетень был обновлен, чтобы объявить о доступности отдельных заплат для Microsoft Outlook и Outlook Express. При некоторых условиях обнаруженный баг мог позволить злонамеренному пользователю ввести в заголовок своего письма исполняемый код, который при открытии письма на другом компьютере мог перехватить управление почтовой программой и выполнить опасные действия вплоть до форматирования винчестера, принудительной связи с заданным сайтом или порчи данных.

Заплата устраняет эту проблему. Клиенты, уже установившие сервисные пакеты, о которых говорилось в предыдущих выпусках бюллетеня, могут не устанавливать ее.

Часто задаваемые вопросы по данному багу и его устранению могут быть найдены по адресу:

http://www.microsoft.com/technet/security/bull

Описание проблемы.

Общедоступный компонент программ Outlook и Outlook Express под названием Inetcomm.dll содержит непроверяемую область (буфер), в которой при загрузке почты через POP3 или IMAP4 размещается заголовок письма электронной почты. (Буфер - область памяти, используемой программой. Когда программа читает данные, она хранит их в буфере памяти программы. Однако важно, чтобы данные фактически вписались по размеру в буфер перед попыткой их сохранения, иначе возможно его переполнение.

В переполненном буфере длина данных превышает размер буфера, и это позволяет постороннему коду войти в программу Outlook или Outlook Express в то время, как они выполняются. Этот код может сделать все, что пользователь был уполномочен делать на данном компьютере.)

Посылая электронное письмо, заголовок которого попадет в указанную область динамической библиотеки, злонамеренный пользователь, за то время, пока почта загружается с сервера, может вызвать любой из двух следующих эффектов:

1). Если непроверяемая область была заполнена случайными данными, электронное письмо будет уничтожено.

2). Если непроверяемая область была заполнена тщательно составленными данными, клиентская почтовая программа может передать управление компьютером вредоносному коду. (Что такое заголовок электронного письма? Почтовые серверы и программы чтения писем нуждаются в информации, которая сообщает им, как обработать приходящие и уходящие электронные письма. Эта информация располагается в области заголовка и включает имя отправителя и адреса получателя, время, в которое почта была послана, и название сервера почты, который получил почту. Проблема заключается в том, что все версии Outlook и Outlook Express, кроме последней, не совсем правильно проверяют длину одной из областей заголовка перед его вставкой в буфер для обработки, когда используются протоколы POP3 или IMAP4.)

Как злонамеренный пользователь может эксплуатировать эту уязвимость? Злонамеренный пользователь может создать электронное письмо, адресованное другому пользователю, используя шестнадцатеричный редактор кода, чтобы изменить текст заголовка, затем послать письмо по назначению. Если получатель использовал упомянутые программы для чтения письма и протоколы POP3 или IMAP4, чтобы связаться с сервером, данные в заголовке переполнят буфер уже во время загрузки письма с сервера. Дальнейший эффект зависит от данных, которые злонамеренный пользователь поместил в заголовок. Если это были случайные данные, программа просто зависнет. Однако если это был тщательно написанный код, он может перехватить управление компьютером. Описанная процедура возможна на всех компьютерах с Outlook Express и Outlook, конфигурированными для использования POP3 или IMAP4. Пользователям Outlook, настроившим программу на использование MAPI, вряд ли что-то угрожает.

Проверить, какой протокол используется вашей почтовой программой, можно так:

1) откройте Outlook,

2) затем выберите пункт "О программе Microsoft Outlook" в "Справке". Если во второй строчке в блоке диалога написано "Общий" или "Рабочая группа" ( "Corporate or Workgroup"), вы используете MAPI. Несмотря на это, Microsoft рекомендует, чтобы такие клиенты также применили один из предлагаемых способов устранения бага, прежде всего потому, что заплата ликвидирует другие уязвимые места, которые затрагивают всех пользователей Outlook, независимо от протокола почты, который они используют. Исправленная версия Inetcomm.dll, у которой нет подобной ошибки, является частью Outlook Express 5.5, и пользователи, успевшие установить ее, не нуждаются ни в каких дополнительных мерах.

Outlook Express 5.5 доступен как часть Сервисного Пакета 1 для Internet Explorer 5.01 и Internet Explorer 5.5 (кроме версии, установленой на Windows 2000) Пользователи, не желающие апгрейдиться до версии Outlook Express 5.5, должны установить заплату.

Программы, нуждающиеся в заплате:

Microsoft Outlook Express 4.0

Microsoft Outlook Express 4.01

Microsoft Outlook Express 5.0

Microsoft Outlook Express 5.01

Microsoft Outlook 98

Microsoft Outlook 2000

Решение проблемы.

Уязвимое место может быть устранено путем любого из следующих действий:

1. Установка заплаты, доступной на http://www.microsoft.com/windows/ie/download/critical/patch9.htm

2. Выполнение заданной по умолчанию инсталляции Сервисного Пакета 1 для Internet Explorer 5.01.

3. Выполнение заданной по умолчанию инсталляции Internet Explorer 5.5 на любой системе, кроме Windows 2000.

Обратите внимание: заплата требует предварительно установить версию IE 5.01 (Версия, которая устанавливается на IE 4.01 SP2, будет доступна вскоре). Пользователи, которые устанавливают эту заплату на других версиях, могут получить сообщение: "Данное обновление не требуется для вашей системы". Это сообщение неправильно!

Обратите внимание:

В дополнение к устранению уязвимости, описанной выше, заплата также устраняет все уязвимые места, обсужденные в Бюллетенях Microsoft под номерами MS00-045 и MS00-046.

Источник: http://www.emedia.ru

 


Copyright c 2000г. "Internet Zone" & Nik Romanov, info@izcity.com
Копирование и использование данных материалов разрешается только в случае указания на журнал "Internet Zone", как на источник получения информации. При этом во всех ссылках обязательно явное указание адреса вэб-сайта http://www.izcity.com/. При наличии у копируемого материала авторов и источника информации - их также нужно указывать, наряду со ссылкой на нас.