O Internet Explorer está vazando informações confidenciais?

Do você usa o Internet Explorer? Se você fizer isso, esperamos que você já tenha aplicado as atualizações do Patch Tuesday no início desta semana. Mas, mesmo que você tenha feito, parece que o seu navegador ainda pode estar vulnerável a um problema potencialmente sério.

A Spider.io, uma empresa que ajuda os clientes a distinguir entre visitantes humanos reais e atividades automatizadas de bots, afirma ter descoberto uma falha que afeta o Internet Explorer, o navegador principal da Microsoft, das versões 6 a 10. A vulnerabilidade permite que a posição do cursor do mouse seja rastreada onde quer que esteja na tela, mesmo que o IE esteja minimizado.

vulnerabilidade para a Microsoft em 1 de outubro de 2012, mas não foi abordada na atualização de segurança mais recente para o Internet Explorer. O Spider.io afirma que a falha está sendo ativamente explorada e afirma que o Centro de Pesquisas de Segurança da Microsoft (MSRC) reconheceu a vulnerabilidade, mas não tem um plano imediato para consertá-la. [

[Leia mais: Como remover malware do seu Windows PC]

Um bug no IE pode vazar informações potencialmente confidenciais

Pedi à Microsoft sua posição sobre a suposta vulnerabilidade. Um porta-voz me enviou esta resposta oficial: “No momento, estamos investigando esse problema, mas até o momento não há relatos de explorações ativas ou clientes que tenham sido afetados negativamente. Forneceremos informações adicionais assim que estiverem disponíveis e tomaremos as medidas adequadas para proteger nossos clientes. ”

Jason Miller, gerente de pesquisa e desenvolvimento da VMware, questiona se o problema é um“ bug ”ou um“ recurso ”. “Pode-se questionar se isso é uma vulnerabilidade ou um recurso introduzido no navegador para ajudar a estabelecer métricas de uso. Independentemente disso, os pesquisadores provaram que esse “problema” poderia ser usado de forma maliciosa. ”

Falei com o Qualys CTO Wolfgang Kandek. Ele expressou preocupações sobre as implicações que tal vulnerabilidade pode ter para o banco on-line. Muitos bancos implementaram teclados virtuais na tela para inserir as credenciais da conta como meio de evitar ataques tradicionais a keyloggers.

Andrew Storms, diretor de operações de segurança da nCircle, concorda. “Esta exploração torna a mitigação nula e sem efeito - tem o efeito de um keylogger nos teclados virtuais. Os invasores poderiam potencialmente capturar os cliques conectados às credenciais bancárias usando essa exploração e isso não é uma boa notícia para os 63 milhões de americanos que fazem transações bancárias online. ”

Alex Horan, gerente sênior de produtos da CORE Security, acrescenta que sites supostamente“ seguros ” pode não ser tão seguro. "Também reforça que só porque você está visitando o YouTube ou o New York Times não significa que todo o conteúdo do site é de propriedade ou gerenciado por eles - exibir anúncios maliciosos em sites confiáveis ​​é uma ótima maneira de expor seu ataque a um grande volume de usuários. ”

Horan sugere abandonar o IE até que o problema seja corrigido pela Microsoft.

Storms diz:“ Se essa vulnerabilidade for confirmada, ela poderá exigir um patch fora de banda e isso é algo que todos gostariam de evitar nesta temporada de festas. ”