Ontem fiquei das 23:00 até as 3:00 da manhã para desativar e só hoje consegui resolver definitivamente a infecção que explorou a vulnerabilidade do Java no Firefox (figura 1), sendo que já estou com a versão 11.

Notei que ao entrar no site uma empresa de software legitima, apareceu o ícone do Java e instalou um falso antivírus que não me deixava abrir nem o prompt de comando, gerenciador de tarefas ou outras aplicações.

Alem disso ele desabilitou o McAfee e não permitia acesso para atualização das politicas e DATs por ter desabilitado os serviços, como mostra o gerenciador NAP de conexão a minha rede corporativa (figura 2).

E o pior é que o McAffee só enxergou o trojan (figura 1) depois que eu MANUALMENTE fiz o update do DAT (Daily DAT Update) e já tinha achado o vírus em Modo de Segurança, que é um arquivo com o nome VWTFRZIUZ.exe no diretório TEMP dentro do perfil do usuário.

O motivo é que o JRE 6.0.31 é o Java não vulnerável, mas não atualiza o Firefox que continua com a versão antiga (figura 3) porque o instalador do JRE 6.0.31 não remove o JRE 6.0.30 que é vulnerável, e com os dois instalados a vulnerabilidade continua ativa (figura 4).

Recomendo que vocês façam o que tive que fazer depois de já infectado:

• Verifiquem qual o JRE que o Firefox de vocês está utilizando
• Se for anterior ao JRE 6.0.31 removam manualmente o JRE pelo painel de controle do Windows
• Instalem o JRE 6.0.31 pelo link: http://java.com/en/download/inc/windows_new_xpi.jsp se precisa do Java
• Desabilite o plugin do Java nos navegadores e habilite apenas nos sites que realmente necessita

Figura 1 – Trojan instalado utilizando a vulnerabilidade do JRE 6.0.1

Figura 2 – Antivirus desativado pelo trojan

Figura 3 – Aviso do Firefox de que o JRE 6.0.3 ainda estava instalado

Figura 4 – Coexistencia dos JREs, sendo que o 6.0.3 é o vulnerável

Ontem a discussão estava acirrada no meu grupo de trabalho por causa da noticia de que a Microsoft iria bloquear o HD que tivesse o Windows 8 instalado.

Em primeiro lugar isso não é inteiramente verdade, pois vários instalaram o SO e sabem que não foi necessário e não será obrigatório ter UEFI para instalação do Windows 8.

O Windows 8 ainda é um Technical Developer Preview, o que significa que nem pode ser chamado de Beta, portanto não há um compromisso de que todas as opções apresentadas sejam implementadas. Alem disso, não há certeza de como serão implementadas. Portanto, toda este discussão se baseia em suposições.

O que é o UEFI ?

Significa Unified Extensible Firmware Interface e irá substituir o boot atual que ainda é escrito em 16 bits e exige conversão de comandos, enquanto o UEFI é baseado em 64 bits.

Não se trata de uma invenção nova, começou a ser desenhada em 1995 com o nome de EFI e hoje se tornou um padrão entre os fabricantes de hardware e software (http://www.uefi.org/about/).

Uma das caracteristicas do UEFI é que ele permite instalar um SO diretamente na flash. Para quem já instalou um servidor novo da Dell, por exemplo o R710, já viu a aplicação que ele possui para auxiliar a instalação do SO?  Este é um exemplo de UEFI boot.

O que é o Secure Boot ?

Um dos recursos novos adicionado ao UEFI é a possibilidade de o Kernel do SO indicar um chave assimétrica (Key Pairs) e apenas driver que estejam com assinatura digital sejam instalados. Essa feature já existe em alguns Macs (EFI Boot) e previne rootkits, dai o motivo de menor número de invasões.

Esse recurso não é novidade, alterar a versão do SO de equipamentos da Apple exige jailbreaks e caso a Microsoft resolva lançar o Windows 8 nas versões OEM com o UEFI travado não seria uma prática diferente da que muitos SOs já utilizam.

Rumores envolvendo Linux

Foram publicados em muitos lugares que a intenção seria a Microsoft proibir Linux baseados em um post na internet.

Porem, quem ler o post completo irá notar o trecho abaixo onde o autor não está dizendo que Linux não irá funcionar e sim que o problema é que as distribuições Linux e os Drivers nem sempre possuem assinatura digital, o que faria com que o UEFI entenda como rootkit e aborte a inicialização.

Para entender o processo do boot utilizando UEFI veja o diagrama abaixo e assista a palestra em http://channel9.msdn.com/Events/BUILD/BUILD2011/HW-457T onde foi apresentado o Secure Boot.

Conclusão

Caso seja travado na BIOS a opção de alterar o UEFI em máquinas compradas com Windows 8 OEM, basta comprar uma maquina que não seja com Windows 8 e instalar o SO que desejar, inclusive o próprio Windows 8 em dual boot como já fazemos atualmente.

Ou então, como falou o próprio analista que jogou a questão no mercado, assinar o kernel e os drivers de Linux.

A algum tempo atrás gravei os videos de Forefront for Exchange 2010 no formato Community Videocast que depois não foram publicados com a chegada dos Centros de Treinamento.

Cortei o video em duas partes e deixei disponível.