O software de segurança falha muito no teste de exploração

A Secunia testou como uma dúzia de suítes de segurança da Internet poderiam identificar quando uma vulnerabilidade de software estava sendo explorada. disse Thomas Kristensen, CTO da Secunia.

Essa é uma abordagem diferente de como os programas são arquitetados hoje. O software de segurança tende a se concentrar na detecção de software malicioso que acaba em um PC depois que uma vulnerabilidade foi explorada. O software é atualizado com assinaturas, ou arquivos de dados, que reconhecem certas cargas maliciosas que são entregues à pós-exploração do PC

[Outras leituras: Como remover malware do seu PC com Windows]

Há uma vantagem distinta na focalização em detectar uma façanha em vez de se defender contra inumeráveis ​​cargas úteis, disse Kristensen. A exploração em si não muda e deve ser utilizada da mesma forma para o PC ser hackeado.

Um número inumerável de cargas úteis - desde keyloggers a softwares de botnet - pode ser implantado durante um ataque contra uma vulnerabilidade.

Identificar o exploit não é um trabalho fácil, no entanto, disse Kristensen. As versões do programa afetadas pela vulnerabilidade devem ser analisadas antes e depois da aplicação de um patch para descobrir como a exploração funciona.

Para seu teste, a Secunia desenvolveu suas próprias explorações de trabalho para vulnerabilidades de software conhecidas. Dessas explorações, 144 eram arquivos maliciosos, como arquivos multimídia e documentos de escritório. As 156 restantes foram exploradas em páginas da Web maliciosas que buscam vulnerabilidades no navegador e no ActiveX, entre outras. A Symantec ficou no topo, mas, mesmo assim, seus resultados não eram estelares: o Internet Security Suite 2009 da empresa detectou 64 300 exploits, ou 21,33% do conjunto de amostras

Os resultados se tornaram muito piores. O Internet Security Suite 2009 build 12.0.10 do BitDefender ficou em segundo lugar, detectando 2,33% do conjunto de amostras. O Internet Security 2008 da Trend Micro teve a mesma taxa de detecção que o BitDefender, seguido pelo McAfee Internet Security Suite 2009 em terceiro com 2%. Kristensen advertiu que a Secunia sabia que a maioria dos fornecedores não está focada em detectar exploits. Mas isso beneficiaria os fornecedores a começar a criar assinaturas para explorações, em vez de apenas cargas úteis, já que isso poderia economizar mais tempo. Há muito menos exploits do que payloads, disse ele.

Fornecedores como a Symantec parecem estar se movendo nessa direção, já que criou assinaturas para exploits relacionados à Microsoft, disse Kristensen.

"Nós não estamos vendo nenhum os outros fornecedores têm algo parecido com isso ", disse Kristensen.

Nesse meio tempo, os usuários devem aplicar patches de software assim que esses patches forem lançados. Se houver um atraso entre quando uma exploração é pública e um patch é lançado, os usuários também podem simplesmente evitar o uso do programa específico.

"Muitas pessoas acham que não têm nada com que se preocupar se tiverem apenas [software antivírus]" Kristensen disse. "Infelizmente, esse definitivamente não é o caso".