SÃO PAULO – A Google apresentou esta semana seu Online Security Blog, uma página com notícias e discussão sobre segurança na web.
O texto de apresentação, assinado por dois membros da equipe anti-malware da empresa, diz que o blog trará “atualizações sobre tendências recentes, descobertas interessantes e iniciativas associadas a segurança online”.
O assunto inaugural é malware. Os autores falam sobre uma recente pesquisa feita pela equipe e aproveita para corrigir uma informação amplamente divulgada pela imprensa de tecnologia, inclusive pelo Plantão INFO. Segundo eles, houve um erro de interpretação quando se publicou que um em cada dez sites contém código malicioso. O número correto, segundo eles, é um em cada mil, ou seja 0,1%.
O erro provém do seguinte: a pesquisa analisou 12 milhões de URLs selecionadas, entre as quais encontrou cerca de 1 milhão contendo código malicioso. Daí vêm os 10%. Toda a imprensa entendeu que os milhões selecionados correspondiam a uma amostra estatística da web. A equipe diz que não era uma amostra, mas um simples subconjunto.
O endereço do Google Online Security Blog é http://googleonlinesecurity.blogspot.com/.
segunda-feira, 28 de maio de 2007
Número de micros-zumbis chega a 1,2 milhão
SÃO PAULO – O número de computadores que servem de zumbis triplicou nas duas últimas semanas, diz uma pesquisa.
Desenvolvida pela ShadowServer Foundation, grupo que pesquisa os ataques de códigos maliciosos, especialmente a ação dos bots – códigos que invadem os micros para transformá-los em zumbis telecontrolados.
Sem o conhecimento de seus donos, os zumbis podem ser usados para lançar ataques de negação de serviço, enviar spam e vírus, além de invadir outros computadores.
Segundo a ShadowServer, o total de PCs infectados por bots chegou perto de 1,2 milhão esta semana, contra 400 mil duas semanas atrás. A tendência de crescimento vem se mantendo há cerca de quatro anos e a China é o país com maior número de máquinas contaminadas.
Fonte : Info Online
Desenvolvida pela ShadowServer Foundation, grupo que pesquisa os ataques de códigos maliciosos, especialmente a ação dos bots – códigos que invadem os micros para transformá-los em zumbis telecontrolados.
Sem o conhecimento de seus donos, os zumbis podem ser usados para lançar ataques de negação de serviço, enviar spam e vírus, além de invadir outros computadores.
Segundo a ShadowServer, o total de PCs infectados por bots chegou perto de 1,2 milhão esta semana, contra 400 mil duas semanas atrás. A tendência de crescimento vem se mantendo há cerca de quatro anos e a China é o país com maior número de máquinas contaminadas.
Fonte : Info Online
Postado por
Alexandro Almeida Figueira
Adword convida usuário a baixar vírus
Um pesquisador finlandês publicou um anúncio na internet convidando os usuários a infectar seus PCs.
Didier Stevens, especialista em segurança de redes, manteve um anúncio no sistema de adwords do Google com a frase: “Seu computador não tem vírus? Clique aqui e infecte-se”. O caso foi relatado pela F-Secure, que estudou o episódio.
Segundo o programador, o link foi clicado por 409 usuários ao longo dos seis meses que ficou no ar. Ao contrário do que prometia, o link não baixava um vírus na máquina do usuário ou qualquer outro código malicioso.
O anúncio fez parte de um projeto, desenvolvido por Stevens, para mostrar vulnerabilidades na internet e como a publicidade online pode ser uma ameaça a segurança de redes.
Segundo a F-Secure, os usuários que clicaram no link o fizeram por curiosidade, desinformação sobre o que é um vírus ou interpretando a mensagem de forma errada. Para alguns internautas, o link oferecia proteção contra vírus e não o download de um malware.
Fonte : http://info.abril.com.br/aberto/info...25052007-4.shl
Didier Stevens, especialista em segurança de redes, manteve um anúncio no sistema de adwords do Google com a frase: “Seu computador não tem vírus? Clique aqui e infecte-se”. O caso foi relatado pela F-Secure, que estudou o episódio.
Segundo o programador, o link foi clicado por 409 usuários ao longo dos seis meses que ficou no ar. Ao contrário do que prometia, o link não baixava um vírus na máquina do usuário ou qualquer outro código malicioso.
O anúncio fez parte de um projeto, desenvolvido por Stevens, para mostrar vulnerabilidades na internet e como a publicidade online pode ser uma ameaça a segurança de redes.
Segundo a F-Secure, os usuários que clicaram no link o fizeram por curiosidade, desinformação sobre o que é um vírus ou interpretando a mensagem de forma errada. Para alguns internautas, o link oferecia proteção contra vírus e não o download de um malware.
Fonte : http://info.abril.com.br/aberto/info...25052007-4.shl
Postado por
Alexandro Almeida Figueira
Celular com criptografia elimina risco de escuta
Público-alvo são executivos que trabalham com informações críticas do setor financeiro, TI e de governo.
A STARCTIC, especializada em inovações para segurança e sigilo de informações corporativas, está lançando no Brasil o CryptoCell Secure ID, uma solução para eliminar o risco de grampo telefônico em conversações via celular. O público-alvo são executivos de alto escalão de áreas estratégicas das grandes corporações, principalmente em segmentos que trabalham com informações críticas, como mercado financeiro, indústria de inovações e repartições de governo.
Indicado para celulares inteligentes com tecnologia GSM, o CryptoCell vem sendo amplamente empregado na Europa para evitar o vazamento de informações de negócios ou segredo industrial. No caso do mercado brasileiro, o produto serve também para proteger o usuário contra a escuta telefônica promovida pelo crime organizado, que hoje já dispõe de ferramentas não só para a clonagem em GSM, mas também para o total monitoramento de comunicações de terceiros para finalidades ilícitas.
O sistema é proprietário e funciona somente aos pares. Ou seja, para que a comunicação fique 100% segura é preciso que os dois aparelhos, empregados na conversação, disponham do software de criptografia instalado. Empresas que desejam garantir segurança de conversação para um número maior de funcionários podem adquirir quantos aparelhos seguros desejar, que o sistema garante a criptografia para todos os aparelhos do grupo.
Fonte: Módulo News
A STARCTIC, especializada em inovações para segurança e sigilo de informações corporativas, está lançando no Brasil o CryptoCell Secure ID, uma solução para eliminar o risco de grampo telefônico em conversações via celular. O público-alvo são executivos de alto escalão de áreas estratégicas das grandes corporações, principalmente em segmentos que trabalham com informações críticas, como mercado financeiro, indústria de inovações e repartições de governo.
Indicado para celulares inteligentes com tecnologia GSM, o CryptoCell vem sendo amplamente empregado na Europa para evitar o vazamento de informações de negócios ou segredo industrial. No caso do mercado brasileiro, o produto serve também para proteger o usuário contra a escuta telefônica promovida pelo crime organizado, que hoje já dispõe de ferramentas não só para a clonagem em GSM, mas também para o total monitoramento de comunicações de terceiros para finalidades ilícitas.
O sistema é proprietário e funciona somente aos pares. Ou seja, para que a comunicação fique 100% segura é preciso que os dois aparelhos, empregados na conversação, disponham do software de criptografia instalado. Empresas que desejam garantir segurança de conversação para um número maior de funcionários podem adquirir quantos aparelhos seguros desejar, que o sistema garante a criptografia para todos os aparelhos do grupo.
Fonte: Módulo News
Postado por
Alexandro Almeida Figueira
Você já ouviu falar em Informática Verde?
O movimento mundial representa uma forma responsável, do ponto de vista ambiental, de reduzir os desperdícios energéticos e ambientais
Confrontados com a realidade preocupante do aquecimento global e do aumento nos custos da energia, muitos departamentos governamentais e empresas privadas de todo o mundo, estão analisando formas de proteger o meio ambiente.
Para lidar com o que tem sido cada vez mais considerado uma crise, surgiu um movimento global crescente direcionado a implementar sistemas preocupados com o meio ambiente. "Informática verde" é o nome associado a esse movimento, que representa uma forma responsável, do ponto de vista ambiental, de reduzir os desperdícios energéticos e ambientais.
Pensando nisso, o programa Energy Star da U.S. Environmental Protection Agency desenvolveu requisitos de conformidade para equipamentos. A Resolução 5646 da U.S. House of Representatives, passada em Julho de 2006, solicitou ao programa Energy Star da EPA uma pesquisa sobre:
- A quantidade de energia consumida pelos centros de dados corporativos e estatais;
- Medidas da indústria no sentido de desenvolver servidores eficientes em relação ao consumo de energia;
-Possíveis incentivos que convençam as empresas a optarem pela utilização de tecnologias com funções para poupar energia.
Na Europa, os departamentos governamentais definiram um conjunto de regulamentos ambientais que lidam com a gestão de desperdícios, reciclagem, eliminação de determinados tipos de lixo, emissões industriais e controle da poluição. A União Européia também planeja um sistema que pretende motivar as empresas a desenvolver voluntariamente seus próprios padrões e práticas ambientais.
O Energy Star calcula que a adoção da gestão de energia gerará uma economia de até US$ 100 por computador, um número significativo quando multiplicado pela quantidade de computadores que normalmente as organizações detêm. Essas práticas de gestão de energia podem ajudar a alcançar economias anuais calculadas de:
-US$ 10 a 30 por monitor, ao colocar os monitores inativos no modo de suspensão de baixo de consumo;
-US$ 15 a 45 por computador de escritório, ao colocar os computadores inativos (CPU, disco rígido, etc.) no modo de suspensão de baixo consumo.
Fonte : Módulo News
Confrontados com a realidade preocupante do aquecimento global e do aumento nos custos da energia, muitos departamentos governamentais e empresas privadas de todo o mundo, estão analisando formas de proteger o meio ambiente.
Para lidar com o que tem sido cada vez mais considerado uma crise, surgiu um movimento global crescente direcionado a implementar sistemas preocupados com o meio ambiente. "Informática verde" é o nome associado a esse movimento, que representa uma forma responsável, do ponto de vista ambiental, de reduzir os desperdícios energéticos e ambientais.
Pensando nisso, o programa Energy Star da U.S. Environmental Protection Agency desenvolveu requisitos de conformidade para equipamentos. A Resolução 5646 da U.S. House of Representatives, passada em Julho de 2006, solicitou ao programa Energy Star da EPA uma pesquisa sobre:
- A quantidade de energia consumida pelos centros de dados corporativos e estatais;
- Medidas da indústria no sentido de desenvolver servidores eficientes em relação ao consumo de energia;
-Possíveis incentivos que convençam as empresas a optarem pela utilização de tecnologias com funções para poupar energia.
Na Europa, os departamentos governamentais definiram um conjunto de regulamentos ambientais que lidam com a gestão de desperdícios, reciclagem, eliminação de determinados tipos de lixo, emissões industriais e controle da poluição. A União Européia também planeja um sistema que pretende motivar as empresas a desenvolver voluntariamente seus próprios padrões e práticas ambientais.
O Energy Star calcula que a adoção da gestão de energia gerará uma economia de até US$ 100 por computador, um número significativo quando multiplicado pela quantidade de computadores que normalmente as organizações detêm. Essas práticas de gestão de energia podem ajudar a alcançar economias anuais calculadas de:
-US$ 10 a 30 por monitor, ao colocar os monitores inativos no modo de suspensão de baixo de consumo;
-US$ 15 a 45 por computador de escritório, ao colocar os computadores inativos (CPU, disco rígido, etc.) no modo de suspensão de baixo consumo.
Fonte : Módulo News
Postado por
Alexandro Almeida Figueira
Segmento de segurança eletrônica cresceu 14%, diz ABESE
Segundo dados da Associação Brasileira das Empresas de Sistemas Eletrônicos de Segurança, ABESE, o setor de segurança é um dos que mais cresce no país. Em 2006, o segmento de segurança eletrônica cresceu 14%, ultrapassando US$ 1 bilhão em faturamento. Um dos serviços que se destacam nesta área, sendo a aposta de crescimento do mercado é a telemetria.
O Sistema de Telemetria permite que o usuário visualize seu imóvel ou veículo aonde quer que esteja, pelo celular ou pela internet, a qualquer hora do dia. O crescimento previsto para esse segmento até o fim do ano é de 50%.
Atualmente, com o alto índice de assaltos e furtos em residências e veículos, o serviço traz maior comodidade para quem deseja viajar ou passar longos períodos fora de casa. O caso que aconteceu recentemente, do empresário brasileiro que estava na Alemanha, ilustra bem o funcionamento dessa nova tecnologia. O empresário viajou para a Alemanha e instalou o sistema de telemetria em sua residência no Guarujá e, através de um alarme pôde visualizar a tentativa de assalto em sua casa, logo que viu, avisou sua esposa que acionou a polícia e evitou maiores constrangimentos.
Fonte : Módulo News
O Sistema de Telemetria permite que o usuário visualize seu imóvel ou veículo aonde quer que esteja, pelo celular ou pela internet, a qualquer hora do dia. O crescimento previsto para esse segmento até o fim do ano é de 50%.
Atualmente, com o alto índice de assaltos e furtos em residências e veículos, o serviço traz maior comodidade para quem deseja viajar ou passar longos períodos fora de casa. O caso que aconteceu recentemente, do empresário brasileiro que estava na Alemanha, ilustra bem o funcionamento dessa nova tecnologia. O empresário viajou para a Alemanha e instalou o sistema de telemetria em sua residência no Guarujá e, através de um alarme pôde visualizar a tentativa de assalto em sua casa, logo que viu, avisou sua esposa que acionou a polícia e evitou maiores constrangimentos.
Fonte : Módulo News
Postado por
Alexandro Almeida Figueira
sábado, 19 de maio de 2007
TRT da 4ª região investe R$ 12 milhões em segurança
O Tribunal Regional do Trabalho da 4ª Região (Porto Alegre) investiu R$ 12 milhões para garantir a segurança dos dados jurídicos e dos processos que precisam ficar armazenados digitalmente por 10 anos.
Com a digitalização da estrutura do judiciário, os tribuniais espalhados pelo País eliminaram o acúmulo de papéis e agilizaram a tramitação dos processos, no entanto, criaram outra demanda que foi a proteção dos dados.
Diante desse quadro o TRT da 4ª região foi obrigado a comprar equipamentos com maior capacidade de armazenamento para oferecer mais segurança às informações, assim como, rapidez no acesso aos dados e a confiabilidade na recuperação dos mesmos em momentos futuros.
Fonte: Módulo News
Com a digitalização da estrutura do judiciário, os tribuniais espalhados pelo País eliminaram o acúmulo de papéis e agilizaram a tramitação dos processos, no entanto, criaram outra demanda que foi a proteção dos dados.
Diante desse quadro o TRT da 4ª região foi obrigado a comprar equipamentos com maior capacidade de armazenamento para oferecer mais segurança às informações, assim como, rapidez no acesso aos dados e a confiabilidade na recuperação dos mesmos em momentos futuros.
Fonte: Módulo News
Postado por
Alexandro Almeida Figueira
sexta-feira, 18 de maio de 2007
[Boa Leitura] - Obras do descaso !
A revista Amanhã disponibiliza uma matéria sobre Gestão de Riscos muito boa que trata da divergencia e disparidade entre os Riscos e os Empresário Brasileiros.
Vale a pena ler !
"Por que as empresas são tão vulneráveis a tragédias –e o que há para aprender com quem conseguese preparar para evitar o pior"
Vale a pena ler !
Postado por
Alexandro Almeida Figueira
quarta-feira, 16 de maio de 2007
Recompondo papel picotado
Segundo artigo da Nature, pesquisadores alemães do Instituto Fraunhofer desenvolveram um software capaz de recompor folhas de papel picotadas em trituradores.
O programa, que será utilizado para analizar 45 milhões de documentos da polícia secreta da antiga Alemanha Oriental, divididos em mais de 600 milhões de picotes, vai trabalhar em um Cluster de 16 computadores, analisando cerca de 25 variáveis de cada pedaço, como textura, cor, forma, fonte e caligrafia.
Fonte : ISTF News / Ceth
O programa, que será utilizado para analizar 45 milhões de documentos da polícia secreta da antiga Alemanha Oriental, divididos em mais de 600 milhões de picotes, vai trabalhar em um Cluster de 16 computadores, analisando cerca de 25 variáveis de cada pedaço, como textura, cor, forma, fonte e caligrafia.
Fonte : ISTF News / Ceth
Postado por
Alexandro Almeida Figueira
178 instituições financeiras foram vítimas de phishing em abril, diz estudo
Estados Unidos são o país mais afetado por este tipo de golpe com 73% do total de ataques. Reino Unido vem em segundo lugar, seguido pela Espanha
Um total de 178 entidades financeiras ao redor do mundo foram vítimas de ataques via phishing durante o mês de abril, o que significa um aumento de 91% em comparação ao mesmo período de 2006. A informação é do Centro de Comandos Antifraude da RSA.
Segundo o relatório, os EUA continuam sendo o país mais afetado por esse tipo de golpe, com 73% do total dos ataques. O Reino Unido vem em segundo lugar, com 10% do total, seguida pela Espanha, com 4% e Canadá e Itália em quarto, com 3%.
Segundo o estudo, os EUA lideram também a relação dos maiores emissores deste ataque, juntamente com Coréia do Sul e Alemanha, com Espanha e Canadá vindo logo a seguir.
O documento aponta também que grande parte dos crackers usa o e-gold, conta virtual que realiza movimentações financeiras para pessoas e empresas, como meio para realizar as transações monetárias. Como este recurso já está na mira de agências antifraude em diversos países, os fraudadores usam empresas similares como o russo WMZ, que tem no anonimato, o principal atrativo para quem quer usar esse tipo de golpe.
Fonte : Módulo News
Um total de 178 entidades financeiras ao redor do mundo foram vítimas de ataques via phishing durante o mês de abril, o que significa um aumento de 91% em comparação ao mesmo período de 2006. A informação é do Centro de Comandos Antifraude da RSA.
Segundo o relatório, os EUA continuam sendo o país mais afetado por esse tipo de golpe, com 73% do total dos ataques. O Reino Unido vem em segundo lugar, com 10% do total, seguida pela Espanha, com 4% e Canadá e Itália em quarto, com 3%.
Segundo o estudo, os EUA lideram também a relação dos maiores emissores deste ataque, juntamente com Coréia do Sul e Alemanha, com Espanha e Canadá vindo logo a seguir.
O documento aponta também que grande parte dos crackers usa o e-gold, conta virtual que realiza movimentações financeiras para pessoas e empresas, como meio para realizar as transações monetárias. Como este recurso já está na mira de agências antifraude em diversos países, os fraudadores usam empresas similares como o russo WMZ, que tem no anonimato, o principal atrativo para quem quer usar esse tipo de golpe.
Fonte : Módulo News
Postado por
Alexandro Almeida Figueira
Farmacêutica lança sistema de identificação de medicamentos para reduzir falsificação e roubo de cargas
A farmacêutica Roche acaba de lançar um sistema de identificação de medicamentos para diminuir a falsificação e o roubo de cargas. O programa se chama o Roche ID.
A partir de junho, cada caixa dos remédios Herceptin, MabThera e Xeloda, para tratamento de oncologia e hematologia, levará um código único, como se fosse um RG.
A criação do sistema tem como objetivo rastrear a procedência dos medicamentos para diminuir a falsificação e o roubo de cargas. A clínica ou hospital que adquirir o remédio poderá imediatamente validá-lo via Internet, evitando a aquisição de medicamentos de origem suspeita e, conseqüentemente, prejuízos aos pacientes.
Fonte : Módulo News
A partir de junho, cada caixa dos remédios Herceptin, MabThera e Xeloda, para tratamento de oncologia e hematologia, levará um código único, como se fosse um RG.
A criação do sistema tem como objetivo rastrear a procedência dos medicamentos para diminuir a falsificação e o roubo de cargas. A clínica ou hospital que adquirir o remédio poderá imediatamente validá-lo via Internet, evitando a aquisição de medicamentos de origem suspeita e, conseqüentemente, prejuízos aos pacientes.
Fonte : Módulo News
Postado por
Alexandro Almeida Figueira
Febraban promove III Seminário Anual de Certificação Digital
Evento contará com a presença de destacados executivos dos setores financeiro e de Tecnologia da Informação.
A Febraban promoverá o III Seminário Anual de Certificação Digital (CD), dia 24 de maio, no hotel Gran Meliá Mofarrej. O evento contará com a presença de destacados executivos dos setores financeiro e de Tecnologia da Informação (TI).
Serão apresentadas as aplicações em certificação digital, as perspectivas e os desafios para a adoção efetiva da assinatura digital e seus correlatos e-CPF, e-CNPJ e assinatura digital. Essas técnicas trarão um nível superior de segurança às transações e transferências de valores no ambiente Internet.
O evento é uma prévia para os debates que serão realizados no Ciab Febraban, o maior evento de Tecnologia da Informação aplicada ao setor financeiro da América Latina, que contará com o painel "Certificação digital / e-CPF". O encadeamento de eventos sobre segurança virtual e certificação digital faz parte de programa que planeja atrair milhões de usuários da tecnologia de Certificação Digital, para que seus efeitos de segurança na Internet sejam sentidos na plenitude.
Especialistas em segurança de informações virtuais são unânimes em afirmar que, a julgar pelas mais recentes iniciativas de bancos, autarquias e associações, serão expedidos mais de seis milhões de certificados digitais a usuários no Brasil, todos seguindo o padrão oficial (o ICP-Brasil) de alta segurança. Essa expectativa vai garantir à indústria de soluções tecnológicas a economia de escala necessária para baratear hardwares e softwares, tornando ainda mais acessível essa ferramenta a todos os internautas brasileiros.
O seminário contará com a participação da gerente executiva da Unidade de Gestão de Segurança do Banco do Brasil, Francimara Viotti. Já estão confirmadas as presenças do presidente do Instituto de Tecnologia da Informação (ITI), Renato da Silveira Martini e do diretor setorial de TI da Febraban, Carlos Eduardo Corrêa da Fonseca. Um dos destaques do evento será a participação do representante do Landsbank, da Islândia, Ragnar Torfi Jónasson.
FONTE: Módulo News
A Febraban promoverá o III Seminário Anual de Certificação Digital (CD), dia 24 de maio, no hotel Gran Meliá Mofarrej. O evento contará com a presença de destacados executivos dos setores financeiro e de Tecnologia da Informação (TI).
Serão apresentadas as aplicações em certificação digital, as perspectivas e os desafios para a adoção efetiva da assinatura digital e seus correlatos e-CPF, e-CNPJ e assinatura digital. Essas técnicas trarão um nível superior de segurança às transações e transferências de valores no ambiente Internet.
O evento é uma prévia para os debates que serão realizados no Ciab Febraban, o maior evento de Tecnologia da Informação aplicada ao setor financeiro da América Latina, que contará com o painel "Certificação digital / e-CPF". O encadeamento de eventos sobre segurança virtual e certificação digital faz parte de programa que planeja atrair milhões de usuários da tecnologia de Certificação Digital, para que seus efeitos de segurança na Internet sejam sentidos na plenitude.
Especialistas em segurança de informações virtuais são unânimes em afirmar que, a julgar pelas mais recentes iniciativas de bancos, autarquias e associações, serão expedidos mais de seis milhões de certificados digitais a usuários no Brasil, todos seguindo o padrão oficial (o ICP-Brasil) de alta segurança. Essa expectativa vai garantir à indústria de soluções tecnológicas a economia de escala necessária para baratear hardwares e softwares, tornando ainda mais acessível essa ferramenta a todos os internautas brasileiros.
O seminário contará com a participação da gerente executiva da Unidade de Gestão de Segurança do Banco do Brasil, Francimara Viotti. Já estão confirmadas as presenças do presidente do Instituto de Tecnologia da Informação (ITI), Renato da Silveira Martini e do diretor setorial de TI da Febraban, Carlos Eduardo Corrêa da Fonseca. Um dos destaques do evento será a participação do representante do Landsbank, da Islândia, Ragnar Torfi Jónasson.
FONTE: Módulo News
Postado por
Alexandro Almeida Figueira
Fornecedor da IBM perde dados de funcionários da companhia nos EUA
São Francisco - Fitas continham informações como datas de aniversário, número de Seguro Social e endereço de funcionários atuais e antigos.
Um fornecedor de nome não revelado da IBM perdeu fitas contendo dados sensíveis de funcionários da Big Blue, a companhia confirmou na terça-feira (15/05).
As fitas desapareceram durante o transporte por um veículo do fornecedor, no dia 23 de fevereiro, próximo ao escritório da IBM em Nova York, disse o porta-voz Fred McNeese.
A IBM colocou um anúncio no jornal local – o Westchester Journal News – buscando ajuda para localizar as fitas, mas não conseguiu recuperá-las. “Não sabemos o que aconteceu com as fitas”, disse McNeese.
“Não temos nenhuma indicação de que qualquer informação das fitas tenha sido acessada”, ele acrescentou.
Ainda assim, algumas das fitas podem ser mal-utilizadas se caírem em mãos erradas. Elas continham informações como datas de aniversário, número de Seguro Social e endereço de funcionários atuais e antigos da empresa. Segundo McNeese, as iformações eram principalmente de ex-IBMers.
Algumas das fitas não estavam criptografadas, mas o executivo não soube afirmar se isso viola as políticas de segurança da Big Blue.
A companhia não revela quantos dados foram perdidos.As notificações às vítimas começaram em 9 de abril e a IBM ofereceu um ano de crédito gratuito para monitoramento dos afetados, informou McNeese.
O vazamento de dados é uma gafe para a IBM, que vem constantemente tentando emplacar segurança de dados como parte do seu portfólio de serviços de TI.
FONTE : IDGNow
Um fornecedor de nome não revelado da IBM perdeu fitas contendo dados sensíveis de funcionários da Big Blue, a companhia confirmou na terça-feira (15/05).
As fitas desapareceram durante o transporte por um veículo do fornecedor, no dia 23 de fevereiro, próximo ao escritório da IBM em Nova York, disse o porta-voz Fred McNeese.
A IBM colocou um anúncio no jornal local – o Westchester Journal News – buscando ajuda para localizar as fitas, mas não conseguiu recuperá-las. “Não sabemos o que aconteceu com as fitas”, disse McNeese.
“Não temos nenhuma indicação de que qualquer informação das fitas tenha sido acessada”, ele acrescentou.
Ainda assim, algumas das fitas podem ser mal-utilizadas se caírem em mãos erradas. Elas continham informações como datas de aniversário, número de Seguro Social e endereço de funcionários atuais e antigos da empresa. Segundo McNeese, as iformações eram principalmente de ex-IBMers.
Algumas das fitas não estavam criptografadas, mas o executivo não soube afirmar se isso viola as políticas de segurança da Big Blue.
A companhia não revela quantos dados foram perdidos.As notificações às vítimas começaram em 9 de abril e a IBM ofereceu um ano de crédito gratuito para monitoramento dos afetados, informou McNeese.
O vazamento de dados é uma gafe para a IBM, que vem constantemente tentando emplacar segurança de dados como parte do seu portfólio de serviços de TI.
FONTE : IDGNow
Postado por
Alexandro Almeida Figueira
segunda-feira, 7 de maio de 2007
Projeto de lei torna envio de spam crime punido com prisão
Deputada Raquel Teixeira (PSDB-GO) afirma que quer disciplinar o uso do correio eletrônico e vai além da proposta avaliada em dezembro, quando a punição só envolvia multa.
Por COMPUTERWORLD*
07 de maio de 2007 - 08h00
A Câmara dos Deputados analisa o Projeto de Lei 169/07, da deputada Raquel Teixeira (PSDB-GO), que torna crime, punido com detenção, o envio de mensagens não solicitadas via internet (spams) e também impõe multa de até R$ 200 por mensagem enviada, acrescida na reincidência.
Leia também:Brasil liderou a emissão de spam na AL no 2º semestreSpammers criam nova técnica para escapar dos filtros
A deputada afirma que sua intenção não é impedir o uso do correio eletrônico, mas disciplinar o uso desse meio. Segundo ela, se o uso da rede para propaganda é um meio barato de obter retorno comercial para quem envia as mensagens, para quem as recebe pode ser um transtorno.
"Preocupa-nos, sobretudo, o uso ilegal de endereços de terceiros para envio de mensagens, seja pela apropriação de servidores abertos da rede, seja pelo uso indevido de compartilhamento do computador de um usuário inocente para o envio de mensagens de conteúdo até ilegal", explicou Raquel à Agência Câmara.
A proposta estabelece regras para o envio de mensagens sem o consentimento prévio do destinatário: a mensagem poderá ser enviada uma única vez. A repetição será vedada sem o prévio consentimento pelo destinatário.
A mensagem deverá conter, no cabeçalho, no primeiro parágrafo e na descrição do assunto, identificação clara de que se trata de mensagem não solicitada.
O texto deverá ter identificação válida e confirmável do remetente e este terá de oferecer um procedimento simples para que o destinatário opte por receber outras mensagens da mesma origem ou de teor similar.
Segundo a proposta da deputada, os provedores de acesso à internet deverão ter registros dos titulares de endereços eletrônicos que possam ser utilizados para o envio de spams. Esses dados deverão ser mantidos por, pelo menos, um ano depois do encerramento do serviço ou da conta.
O projeto, que tramita em regime de urgência, foi adicionado ao projeto de lei 4562/04, do deputado Silas Brasileiro (PMDB-MG), que prevê que os assinantes de serviços de correio eletrônico em redes de computadores destinadas ao uso público, inclusive a internet, deverão ser identificados com nome completo, local de residência, número de identidade, CPF, título de eleitor ou outro documento válido e verificável para a identificação do usuário.
Ambas tramitam em conjunto com o projeto do deputado Antonio Carlos Pannunzio (PSDB-SP), que regula o registro do acesso a redes de computadores destinados ao uso público, e com a proposta nº 5403/01, do Senado, que trata do mesmo tema. As matérias deverão ser analisadas por uma comissão especial antes de serem votadas pelo Plenário.
Em dezembro passado, um outro projeto de lei para coibir spams teve a punição por detenção retirada pelo relator Nelson Proença (PPS-RS). Apesar de admitir que a prática do envio de mensagens não solicitadas é inconveniente e representa um custo para a rede como um todo, o relator ponderou que "enquadrá-la como infração ou crime é um passo agigantado, que não guarda proporção com o desconforto provocado".
Segundo Proença, "a mensagem comercial não solicitada, embora esteja sendo usada abusivamente, não coloca em risco o sistema social e não implica na violação de qualquer direito fundamental do cidadão".
* Com informações da Agência Câmara
Por COMPUTERWORLD*
07 de maio de 2007 - 08h00
A Câmara dos Deputados analisa o Projeto de Lei 169/07, da deputada Raquel Teixeira (PSDB-GO), que torna crime, punido com detenção, o envio de mensagens não solicitadas via internet (spams) e também impõe multa de até R$ 200 por mensagem enviada, acrescida na reincidência.
Leia também:Brasil liderou a emissão de spam na AL no 2º semestreSpammers criam nova técnica para escapar dos filtros
A deputada afirma que sua intenção não é impedir o uso do correio eletrônico, mas disciplinar o uso desse meio. Segundo ela, se o uso da rede para propaganda é um meio barato de obter retorno comercial para quem envia as mensagens, para quem as recebe pode ser um transtorno.
"Preocupa-nos, sobretudo, o uso ilegal de endereços de terceiros para envio de mensagens, seja pela apropriação de servidores abertos da rede, seja pelo uso indevido de compartilhamento do computador de um usuário inocente para o envio de mensagens de conteúdo até ilegal", explicou Raquel à Agência Câmara.
A proposta estabelece regras para o envio de mensagens sem o consentimento prévio do destinatário: a mensagem poderá ser enviada uma única vez. A repetição será vedada sem o prévio consentimento pelo destinatário.
A mensagem deverá conter, no cabeçalho, no primeiro parágrafo e na descrição do assunto, identificação clara de que se trata de mensagem não solicitada.
O texto deverá ter identificação válida e confirmável do remetente e este terá de oferecer um procedimento simples para que o destinatário opte por receber outras mensagens da mesma origem ou de teor similar.
Segundo a proposta da deputada, os provedores de acesso à internet deverão ter registros dos titulares de endereços eletrônicos que possam ser utilizados para o envio de spams. Esses dados deverão ser mantidos por, pelo menos, um ano depois do encerramento do serviço ou da conta.
O projeto, que tramita em regime de urgência, foi adicionado ao projeto de lei 4562/04, do deputado Silas Brasileiro (PMDB-MG), que prevê que os assinantes de serviços de correio eletrônico em redes de computadores destinadas ao uso público, inclusive a internet, deverão ser identificados com nome completo, local de residência, número de identidade, CPF, título de eleitor ou outro documento válido e verificável para a identificação do usuário.
Ambas tramitam em conjunto com o projeto do deputado Antonio Carlos Pannunzio (PSDB-SP), que regula o registro do acesso a redes de computadores destinados ao uso público, e com a proposta nº 5403/01, do Senado, que trata do mesmo tema. As matérias deverão ser analisadas por uma comissão especial antes de serem votadas pelo Plenário.
Em dezembro passado, um outro projeto de lei para coibir spams teve a punição por detenção retirada pelo relator Nelson Proença (PPS-RS). Apesar de admitir que a prática do envio de mensagens não solicitadas é inconveniente e representa um custo para a rede como um todo, o relator ponderou que "enquadrá-la como infração ou crime é um passo agigantado, que não guarda proporção com o desconforto provocado".
Segundo Proença, "a mensagem comercial não solicitada, embora esteja sendo usada abusivamente, não coloca em risco o sistema social e não implica na violação de qualquer direito fundamental do cidadão".
* Com informações da Agência Câmara
Postado por
Alexandro Almeida Figueira
Indústria de segurança eletrônica deverá crescer 15%
São Paulo, 02 de maio de 2007 - A lucratividade da indústria de segurança eletrônica deverá expandir 15% em 2007 em relação ao ano passado, chegando a R$ 1,265 bilhão. O levantamento foi feito pela Área de Sistemas Eletrônicos Prediais da Abinee (Associação Brasileira da Indústria Elétrica e Eletrônica).
Esse crescimento deverá abrir o mercado de segurança para a chegada de serviços e de produtos, como sistemas de monitoramento via internet; soluções que detectem remotamente problemas de incêndio, invasão, vazamento de gás; controle de acessos que permitem aos usuários abrirem sua residência para que seu convidado entre antes de sua chegada; gerenciamento de veículos por meio de celular com GPS, entre outros.
Algumas dessas novidades estão expostas na ISC Brasil (Feira e Congresso de Segurança Eletrônica) e a InterSecurity (Feira e Congresso Internacional de Segurança Urbana), que será realizada de 2 a 4 de maio, no Transamérica Expo Center, em São Paulo
Fonte: Módulo News / Uol News
Esse crescimento deverá abrir o mercado de segurança para a chegada de serviços e de produtos, como sistemas de monitoramento via internet; soluções que detectem remotamente problemas de incêndio, invasão, vazamento de gás; controle de acessos que permitem aos usuários abrirem sua residência para que seu convidado entre antes de sua chegada; gerenciamento de veículos por meio de celular com GPS, entre outros.
Algumas dessas novidades estão expostas na ISC Brasil (Feira e Congresso de Segurança Eletrônica) e a InterSecurity (Feira e Congresso Internacional de Segurança Urbana), que será realizada de 2 a 4 de maio, no Transamérica Expo Center, em São Paulo
Fonte: Módulo News / Uol News
Postado por
Alexandro Almeida Figueira
Symantec: cavalo-de-tróia finge ser ativação do Windows para roubar dados
Framingham - Malware Kardphisher alega que Windows já foi ativado e pede cartão de crédito para nova ativação, segundo alerta da Symantec.
Pesquisadores da Symantec alertaram nesta sexta-feira (04/05) sobre um novo cavalo-de-tróia que se apresenta como o programa de ativação da Microsoft e força usuários a fornecer dados de cartões de crédito em uma tentativa para reativar suas máquinas.
Chamado de Kardphisher, o malware é muito simples tecnicamente, afirmou Takashi Katsuki, pesquisador da empresa. Mas seu autor "se esforçou bastante para torná-lo muito parecido como o programa legítimo".
Uma vez instalado, o malware reproduz uma tela parecida à oficial que alega que a cópia do Windows já foi ativada por outro usuário. "Para ajudar a reduzir a pirataria de software, por favor, reative sua cópia do Windows agora", diz a janela.
"Pediremos seus detalhes para a cobrança, mas seu cartão de crédito não será cobrado", promete.
Ao selecionar a opção "Não", segundo Katsuki, o PC é desligado, enquanto um clique em "Sim", leva o usuário a uma segunda tela onde seu nome e número de cartão de crédito é exigido, para serem então transmitidos para o servidor do cracker.
"Este cavalo-de-tróia nos ensina uma ótima lição: a não confiar em ninguém", diz ele.
Detalhes nas telas de reativação da cópia do Windows parecem legítimos, além do malware se comportar da mesma maneira que o sistema operacional. O site referenciado na primeira tela, por exemplo, é o site real de esforços contra pirataria da Microsoft.
Em algumas situações, como após o usuário fazer mudanças significativas no seu hardware, o Windows XP exige a reativação. A Microsoft, no entanto, nunca pede informações pessoais, como cartão de crédito, durante a ativação.
O novo Windows Vista, que não é atingido pelo Kardphisher, é ainda mais provável de exigir ativação. Na verdade, a Microsot corrigiu o Vista em janeiro para retirar um bug na função antipirataria do software que impedia que usuários o reativassem.
Fonte : IDGNow
Pesquisadores da Symantec alertaram nesta sexta-feira (04/05) sobre um novo cavalo-de-tróia que se apresenta como o programa de ativação da Microsoft e força usuários a fornecer dados de cartões de crédito em uma tentativa para reativar suas máquinas.
Chamado de Kardphisher, o malware é muito simples tecnicamente, afirmou Takashi Katsuki, pesquisador da empresa. Mas seu autor "se esforçou bastante para torná-lo muito parecido como o programa legítimo".
Uma vez instalado, o malware reproduz uma tela parecida à oficial que alega que a cópia do Windows já foi ativada por outro usuário. "Para ajudar a reduzir a pirataria de software, por favor, reative sua cópia do Windows agora", diz a janela.
"Pediremos seus detalhes para a cobrança, mas seu cartão de crédito não será cobrado", promete.
Ao selecionar a opção "Não", segundo Katsuki, o PC é desligado, enquanto um clique em "Sim", leva o usuário a uma segunda tela onde seu nome e número de cartão de crédito é exigido, para serem então transmitidos para o servidor do cracker.
"Este cavalo-de-tróia nos ensina uma ótima lição: a não confiar em ninguém", diz ele.
Detalhes nas telas de reativação da cópia do Windows parecem legítimos, além do malware se comportar da mesma maneira que o sistema operacional. O site referenciado na primeira tela, por exemplo, é o site real de esforços contra pirataria da Microsoft.
Em algumas situações, como após o usuário fazer mudanças significativas no seu hardware, o Windows XP exige a reativação. A Microsoft, no entanto, nunca pede informações pessoais, como cartão de crédito, durante a ativação.
O novo Windows Vista, que não é atingido pelo Kardphisher, é ainda mais provável de exigir ativação. Na verdade, a Microsot corrigiu o Vista em janeiro para retirar um bug na função antipirataria do software que impedia que usuários o reativassem.
Fonte : IDGNow
Postado por
Alexandro Almeida Figueira
Vista é mais seguro do que o Mac OS X?
Dino Dai Zovi ficou conhecido por ganhar 10 mil dólares por encontrar uma falha, em menos de 10 horas, no sistema operacional da Apple. O desafio aconteceu em 20 de abril último na conferência de segurança da informação CanSecWest em Vancouver, Canadá.
Leia também: >A Microsoft cumpriu a promessa de um Vista seguro?>Conheça as novas funções de segurança do Vista>Álbum: veja as novidades do Vista
Em entrevista por e-mail ao Computerworld EUA, ele afirma que encontrar vulnerabilidades é algo próximo a pescar, comenta a chance de alguém cair em uma brecha sem correção e qual sistema operacional - Vista ou Mac OS X - é o mais seguro.Computerworld: Em um dia, foi dito que a vulnerabilidade estava no Safari, mas no dia seguinte se descobriu que era no QuickTime.
Qual foi o motivo da confusão?
Dino Zovi: Eu sabia exatamente onde estava a vulnerabilidade quando escrevi o ‘exploit’; isso é parte da pesquisa básica de vulnerabilidade exigida quando se quer uma brecha real. Eu intencionalmente não revelei exatamente onde ela se encontrava para evitar que programadores mal intencionados usassem engenharia reversa para explorá-la. Inicialmente, apenas revelei que a vulnerabilidade afetava o Safari no Mac OS X, o objeto da disputa. Agora, o projeto ZDI da TippingPoint [responsável pelo pagamento dos 10 mil dólares] revelou publicamente que a falha afeta muitas outras configurações, incluindo todos navegadores que tenham Java permitido em Mac OS X e Windows se o QuickTime está instalado.
CW: Você descobriu a vulnerabilidade e criou o ‘exploit’ em 9 horas a 10 horas e disse ‘há sangue na água’. Isso siginifica que você tinha alguma pesquisa anterior sobre o tema ou começou mesmo do zero? Foi tão fácil assim aproveitar a vulnerabilidade?
DZ: Já tinha descoberto outras vulnerabilidades no Mac OS X e mesmo no QuickTime, então já tinha alguma familiaridade com o código. Mas só notei aquela vulnerabilidade naquela noite. O “sangue na água” refere-se ao fato que já houve relatos sobre outras vulnerabilidades no QuickTime e mesmo relacionadas com Java no QuickTime nos últimos anos. Pela minha experiência, se determinado software teve vulnerabilidades no passado, é mais provável que ele contenha outras ainda não descobertas.
Halvar Flake e Dave Aitel, pesquisadores de segurança, usam a metáfora da pescaria para comparar com a busca por vulnerabilidades. Alguns dias você vai e não pega nada, outros vem algo fantástico. Eu suspeitava que teria uma boa pescaria no QuickTime e tive sorte de encontrar algo bom em um curto espaço de tempo.
CW: Como um pesquisador de segurança pode proteger as suas descobertas? Quais são as chances que alguém descubra a vulnerabilidade baseando-se nas limitadas informações que foram a público?
DZ: Mantenho os ‘exploits’ em discos de imagem com criptografia que só são abertos quando necessários. Sou muito conservador em relação aos detalhes que eu partilho e com quem para ter um controle do conhecimento das vulnerabilidades. Com os detalhes que divulguei até agora, acredito que existe uma possibilidade real que alguém crie um exploit para a vulnerabilidade. Mas isso não seria exatamente algo trivial e espero que essa pessoa seja responsável.
CW: Com o debate sobre quem é mais seguro, o que você recomendaria para usuários de Mac como precauções de segurança?
DZ: Recomendo que usuários Mac tenham contas sem privilégios de administrador, que usem senhas fortes e diferentes para password importantes, e armazenem documentos sensíveis em discos separados de imagem com criptografia. Acredito que esses são passos inteligentes para usuários que querem proteger seus computadores.
CW: Quão importante foi o prêmio da TippingPoint de 10 mil dólares?
DZ: Para mim, o desafio – especialmente pelas restrições de tempo – foi o que realmente me motivou. Também esperava que a demonstração ao vivo de um ‘exploit’ do Mac OS X geraria uma extremamente necessária evidência na nos debates sobre segurança do Mac.
CW: Pelas suas pesquisas nas duas plataformas, existe um vencedor em segurança entre o Mac OS X 10.4 e o Vista?
DZ: Descobri que a qualidade do código, pelo menos em termos de segurança, é muito melhor em geral no Visto do que no Mac OS X 10.4. É óbvio ao observar os componentes afetados nas atualizações de segurança que o Ciclo de vida de desenvolvimento de segurança da Microsoft (SDL, da sigla em inglês) resultou em menos vulnerabilidades no código recém-escrito. Espero que outros fornecedores de software sigam a liderança da Microsoft em desenvolver metodologias de desenvolvimento de software mais seguras.
*Gregg Keizer é editor do Computerworld, em Framingham.
Fonte : IDGNow
Leia também: >A Microsoft cumpriu a promessa de um Vista seguro?>Conheça as novas funções de segurança do Vista>Álbum: veja as novidades do Vista
Em entrevista por e-mail ao Computerworld EUA, ele afirma que encontrar vulnerabilidades é algo próximo a pescar, comenta a chance de alguém cair em uma brecha sem correção e qual sistema operacional - Vista ou Mac OS X - é o mais seguro.Computerworld: Em um dia, foi dito que a vulnerabilidade estava no Safari, mas no dia seguinte se descobriu que era no QuickTime.
Qual foi o motivo da confusão?
Dino Zovi: Eu sabia exatamente onde estava a vulnerabilidade quando escrevi o ‘exploit’; isso é parte da pesquisa básica de vulnerabilidade exigida quando se quer uma brecha real. Eu intencionalmente não revelei exatamente onde ela se encontrava para evitar que programadores mal intencionados usassem engenharia reversa para explorá-la. Inicialmente, apenas revelei que a vulnerabilidade afetava o Safari no Mac OS X, o objeto da disputa. Agora, o projeto ZDI da TippingPoint [responsável pelo pagamento dos 10 mil dólares] revelou publicamente que a falha afeta muitas outras configurações, incluindo todos navegadores que tenham Java permitido em Mac OS X e Windows se o QuickTime está instalado.
CW: Você descobriu a vulnerabilidade e criou o ‘exploit’ em 9 horas a 10 horas e disse ‘há sangue na água’. Isso siginifica que você tinha alguma pesquisa anterior sobre o tema ou começou mesmo do zero? Foi tão fácil assim aproveitar a vulnerabilidade?
DZ: Já tinha descoberto outras vulnerabilidades no Mac OS X e mesmo no QuickTime, então já tinha alguma familiaridade com o código. Mas só notei aquela vulnerabilidade naquela noite. O “sangue na água” refere-se ao fato que já houve relatos sobre outras vulnerabilidades no QuickTime e mesmo relacionadas com Java no QuickTime nos últimos anos. Pela minha experiência, se determinado software teve vulnerabilidades no passado, é mais provável que ele contenha outras ainda não descobertas.
Halvar Flake e Dave Aitel, pesquisadores de segurança, usam a metáfora da pescaria para comparar com a busca por vulnerabilidades. Alguns dias você vai e não pega nada, outros vem algo fantástico. Eu suspeitava que teria uma boa pescaria no QuickTime e tive sorte de encontrar algo bom em um curto espaço de tempo.
CW: Como um pesquisador de segurança pode proteger as suas descobertas? Quais são as chances que alguém descubra a vulnerabilidade baseando-se nas limitadas informações que foram a público?
DZ: Mantenho os ‘exploits’ em discos de imagem com criptografia que só são abertos quando necessários. Sou muito conservador em relação aos detalhes que eu partilho e com quem para ter um controle do conhecimento das vulnerabilidades. Com os detalhes que divulguei até agora, acredito que existe uma possibilidade real que alguém crie um exploit para a vulnerabilidade. Mas isso não seria exatamente algo trivial e espero que essa pessoa seja responsável.
CW: Com o debate sobre quem é mais seguro, o que você recomendaria para usuários de Mac como precauções de segurança?
DZ: Recomendo que usuários Mac tenham contas sem privilégios de administrador, que usem senhas fortes e diferentes para password importantes, e armazenem documentos sensíveis em discos separados de imagem com criptografia. Acredito que esses são passos inteligentes para usuários que querem proteger seus computadores.
CW: Quão importante foi o prêmio da TippingPoint de 10 mil dólares?
DZ: Para mim, o desafio – especialmente pelas restrições de tempo – foi o que realmente me motivou. Também esperava que a demonstração ao vivo de um ‘exploit’ do Mac OS X geraria uma extremamente necessária evidência na nos debates sobre segurança do Mac.
CW: Pelas suas pesquisas nas duas plataformas, existe um vencedor em segurança entre o Mac OS X 10.4 e o Vista?
DZ: Descobri que a qualidade do código, pelo menos em termos de segurança, é muito melhor em geral no Visto do que no Mac OS X 10.4. É óbvio ao observar os componentes afetados nas atualizações de segurança que o Ciclo de vida de desenvolvimento de segurança da Microsoft (SDL, da sigla em inglês) resultou em menos vulnerabilidades no código recém-escrito. Espero que outros fornecedores de software sigam a liderança da Microsoft em desenvolver metodologias de desenvolvimento de software mais seguras.
*Gregg Keizer é editor do Computerworld, em Framingham.
Fonte : IDGNow
Postado por
Alexandro Almeida Figueira
sexta-feira, 4 de maio de 2007
Microsoft obriga pirata a pedir desculpas
SÃO PAULO - A Microsoft obrigou um vendedor de software a pedir desculpas por vender aplicativos pirateados.
O vendedor, identificado como M. A. Jabarkhail, é cidadão inglês e foi condenado, por um tribunal inglês, por copiar e distribuir produtos da Microsoft sem licença.
Jabarkhail oferecia CDs do Office e Windows no eBay e enviava os aplicativos pelo correio, na Inglaterra. A Microsoft identificou o vendedor e processou-o na Justiça.
No acordo em que reconhece culpa, Jabarkhail aceitou a exigência da Microsoft de publicar anúncios em revistas inglesas pedindo desculpas por distribuir software sem copyrigth.
Além de Jabarkhail, a Microsoft processa outros 54 usuários do eBay na Inglaterra, acusados de vender cópias piratas do Windows e Office.
O vendedor, identificado como M. A. Jabarkhail, é cidadão inglês e foi condenado, por um tribunal inglês, por copiar e distribuir produtos da Microsoft sem licença.
Jabarkhail oferecia CDs do Office e Windows no eBay e enviava os aplicativos pelo correio, na Inglaterra. A Microsoft identificou o vendedor e processou-o na Justiça.
No acordo em que reconhece culpa, Jabarkhail aceitou a exigência da Microsoft de publicar anúncios em revistas inglesas pedindo desculpas por distribuir software sem copyrigth.
Além de Jabarkhail, a Microsoft processa outros 54 usuários do eBay na Inglaterra, acusados de vender cópias piratas do Windows e Office.
Postado por
Alexandro Almeida Figueira
Hackers quebram de vez a proteção ao HD-DVD
SÃO PAULO – O código que abre qualquer disco HD-DVD está em toda a web. A divulgação resultou de uma escaramuça entre usuários do site Digg.com e a MPAA.
A MPAA, associação das indústrias de cinema, vem sofrendo mais um revés em torno dos sistemas de DRM (digital rights management) para proteger os discos HD-DVD. A história é cheia de nuances. Começou com a descoberta de um código universal para desbloquear o HD-DVD, um número hexadecimal.
Antes, para fazer isso, era necessário ter um código específico para cada disco. Agora, identificaram um número hexadecimal que é a chave mestra para desbloquear qualquer disco HD-DVD. Essa chave também pode ser usada em todos os discos e programas para HD-DVD no micro, deixando de lado as proteções.
Na cena seguinte, internautas começaram a publicar nos fóruns do site Digg.com o tal código destravador de todos os HD-DVDs. A MPAA pressionou o site e, em conseqüência, desapareceram mensagens e contas dos usuários que as postaram. A resposta dos usuários veio rapidamente. Eles espalharam o código em milhares de sites. Além disso, há letras de música com o código, animações em Flash, canecas e camisetas. Todos estampam, de alguma forma, o número fatídico.
Basta fazer uma busca com o argumento “HD-DVD code”. Vem uma enxurrada de sites, todos com o hexadecimal 09-f9-11-02-9d-74-e3-5b-d8-41-56-c5-63-56-88-c0. Segundo o Google, há quase 300 mil páginas contendo esse número.
O resultado, até o momento, é que a proteção anticópia dos HD-DVDs foi por água abaixo. Obviamente, os responsáveis podem fazer um extenso trabalho de atualização do firmware dos equipamentos. De todo modo, como já houve tantas quebras, nada garante à MPAA que, mesmo reforçada, a proteção não venha a ser derrubada outra vez.
Carlos Machado, da INFO
Fonte : Info Online
Em : http://info.abril.com.br/aberto/infonews/052007/02052007-22.shl
A MPAA, associação das indústrias de cinema, vem sofrendo mais um revés em torno dos sistemas de DRM (digital rights management) para proteger os discos HD-DVD. A história é cheia de nuances. Começou com a descoberta de um código universal para desbloquear o HD-DVD, um número hexadecimal.
Antes, para fazer isso, era necessário ter um código específico para cada disco. Agora, identificaram um número hexadecimal que é a chave mestra para desbloquear qualquer disco HD-DVD. Essa chave também pode ser usada em todos os discos e programas para HD-DVD no micro, deixando de lado as proteções.
Na cena seguinte, internautas começaram a publicar nos fóruns do site Digg.com o tal código destravador de todos os HD-DVDs. A MPAA pressionou o site e, em conseqüência, desapareceram mensagens e contas dos usuários que as postaram. A resposta dos usuários veio rapidamente. Eles espalharam o código em milhares de sites. Além disso, há letras de música com o código, animações em Flash, canecas e camisetas. Todos estampam, de alguma forma, o número fatídico.
Basta fazer uma busca com o argumento “HD-DVD code”. Vem uma enxurrada de sites, todos com o hexadecimal 09-f9-11-02-9d-74-e3-5b-d8-41-56-c5-63-56-88-c0. Segundo o Google, há quase 300 mil páginas contendo esse número.
O resultado, até o momento, é que a proteção anticópia dos HD-DVDs foi por água abaixo. Obviamente, os responsáveis podem fazer um extenso trabalho de atualização do firmware dos equipamentos. De todo modo, como já houve tantas quebras, nada garante à MPAA que, mesmo reforçada, a proteção não venha a ser derrubada outra vez.
Carlos Machado, da INFO
Fonte : Info Online
Em : http://info.abril.com.br/aberto/infonews/052007/02052007-22.shl
Postado por
Alexandro Almeida Figueira
Triplica número de contribuintes do IR com certificação digital
Segundo dados da Receita Federal, 14.583 usaram e-CPF no envio online das declarações este ano.
Mais que triplicou o número de contribuintes que usaram a certificação digital na declaração online do Imposto de Renda da Pessoa Física (IRPF) de 2007, referente ao ano base de 2006. Este ano 14.583 pessoas despacharam o documento pela Internet assinado digitalmente, contra 4.652 em 2006.
Os dados foram divulgados pela Receita Federal e mostram que mais brasileiros estão usando o e-CPF. Segundo o órgão, os contribuintes que transacionam com o Fisco com certificação digital têm alguns benefícios, com acesso a serviços restritos. Por enquanto, apenas empresas com faturamentos em determinadas faixas são obrigadas a usar a tecnologia para se comunicar com a Receita. A Receita Federal recebeu 23,270 milhões de declarações do IR em 2007. Deste total, 99%, ou 22,900 milhões, foram envidas pela Internet, informa o secretário da Receita Federal, Jorge Rachid.
O prazo de entrega, que começou em 1º de março, terminou na última segunda-feira (30/4). Apenas 370 mil contribuintes não enviaram a declaração pela Web, preferido o despacho pelo Correio ou entrega nos bancos. Esse número, segundo a Receita, demonstra que o serviço online, que acaba de completar dez anos de operação, conquistou sua maturidade e transmite segurança aos brasileiros.
Fonte : Módulo Security / Receita Federal.
Mais que triplicou o número de contribuintes que usaram a certificação digital na declaração online do Imposto de Renda da Pessoa Física (IRPF) de 2007, referente ao ano base de 2006. Este ano 14.583 pessoas despacharam o documento pela Internet assinado digitalmente, contra 4.652 em 2006.
Os dados foram divulgados pela Receita Federal e mostram que mais brasileiros estão usando o e-CPF. Segundo o órgão, os contribuintes que transacionam com o Fisco com certificação digital têm alguns benefícios, com acesso a serviços restritos. Por enquanto, apenas empresas com faturamentos em determinadas faixas são obrigadas a usar a tecnologia para se comunicar com a Receita. A Receita Federal recebeu 23,270 milhões de declarações do IR em 2007. Deste total, 99%, ou 22,900 milhões, foram envidas pela Internet, informa o secretário da Receita Federal, Jorge Rachid.
O prazo de entrega, que começou em 1º de março, terminou na última segunda-feira (30/4). Apenas 370 mil contribuintes não enviaram a declaração pela Web, preferido o despacho pelo Correio ou entrega nos bancos. Esse número, segundo a Receita, demonstra que o serviço online, que acaba de completar dez anos de operação, conquistou sua maturidade e transmite segurança aos brasileiros.
Fonte : Módulo Security / Receita Federal.
Postado por
Alexandro Almeida Figueira
Proposta de combate aos crimes de informática avança no senado
A CCJ (Comissão de Constituição e Justiça) do Senado deve votar em breve a proposta do senador Eduardo Azeredo que tipifica e prevê as penas para os crimes cometidos com o uso das tecnologias da informação. Em discurso, ontem (02/05), o senador defendeu a rápida aprovação da matéria como forma de combate à violência e à criminalidade.
O Senador reforçou que a proposta não vai implicar censura, rastreamento, cerceamento da liberdade de expressão ou invasão de privacidade. "Vamos ampliar a legislação brasileira para que possa abranger esses novos delitos que surgiram com o avanço das tecnologias da informação. Trata-se, essencialmente, de combate ao crime", afirmou. O substitutivo de Azeredo aglutina três projetos de lei (76/2000, do senador Renan Calheiros, o 137/2000, do senador Leomar Quintanilha, e o 89/2003, do ex-deputado Luiz Paiuhylino) e já foi aprovado pela Comissão de Educação.
Tentativas de fraudes via Internet crescem 53%.
Em seu discurso no senado, Azeredo citou alguns dados do cert.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) que atestam a necessidade de aprovação da proposta que tipifica os crimes de informática. Segundo o cert.br, as tentativas de fraudes online no Brasil cresceram 53% em 2006. Em 2005 foram registradas 27,3 mil tentativas de fraudes pela rede. No ano passado, foram 41,8 mil. Ao todo, o centro recebeu, em 2006, denúncias de 197 mil incidentes relacionados à Internet. Alta de 191% com relação a 2005.
"Com esses números, o Brasil ficou na segunda colocação entre os 10 países com maior número de incidentes reportados, concentrando 21,2% das denúncias, atrás apenas dos Estados Unidos", acrescentou Azeredo. "A escalada dos infocrimes é surpreendente e acompanha a celeridade da evolução tecnológica: os incidentes foram 2.107 em 1999, passaram para 5.997, 12.301, 25.092, 54,607, 75.722, sucessivamente, até mais que dobrar e chegar aos 197 mil do ano passado", concluiu.
Fonte : Módulo Security
O Senador reforçou que a proposta não vai implicar censura, rastreamento, cerceamento da liberdade de expressão ou invasão de privacidade. "Vamos ampliar a legislação brasileira para que possa abranger esses novos delitos que surgiram com o avanço das tecnologias da informação. Trata-se, essencialmente, de combate ao crime", afirmou. O substitutivo de Azeredo aglutina três projetos de lei (76/2000, do senador Renan Calheiros, o 137/2000, do senador Leomar Quintanilha, e o 89/2003, do ex-deputado Luiz Paiuhylino) e já foi aprovado pela Comissão de Educação.
Tentativas de fraudes via Internet crescem 53%.
Em seu discurso no senado, Azeredo citou alguns dados do cert.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil) que atestam a necessidade de aprovação da proposta que tipifica os crimes de informática. Segundo o cert.br, as tentativas de fraudes online no Brasil cresceram 53% em 2006. Em 2005 foram registradas 27,3 mil tentativas de fraudes pela rede. No ano passado, foram 41,8 mil. Ao todo, o centro recebeu, em 2006, denúncias de 197 mil incidentes relacionados à Internet. Alta de 191% com relação a 2005.
"Com esses números, o Brasil ficou na segunda colocação entre os 10 países com maior número de incidentes reportados, concentrando 21,2% das denúncias, atrás apenas dos Estados Unidos", acrescentou Azeredo. "A escalada dos infocrimes é surpreendente e acompanha a celeridade da evolução tecnológica: os incidentes foram 2.107 em 1999, passaram para 5.997, 12.301, 25.092, 54,607, 75.722, sucessivamente, até mais que dobrar e chegar aos 197 mil do ano passado", concluiu.
Fonte : Módulo Security
Postado por
Alexandro Almeida Figueira
quinta-feira, 3 de maio de 2007
Cracker “perde” pendrive para aplicar golpe
A polícia de Londres investiga um novo tipo de golpe que usa pendrives para espalhar códigos maliciosos.
De acordo com a polícia local, os golpistas deixam pendrives espalhados por pontos estratégicos da capital inglesa, afim de atrair vítimas de alta renda. Um dos pontos mais comuns para distribuir os dispositivos são estacionamentos de shoppings de luxo.
O pendrive esquecido, no entanto, contém um código malicioso especialmente desenvolvido para capturar informações bancárias e enviá-las para servidores controlados por crackers. A vítima, pensando ter encontrado um pendrive perdido, leva para casa um vírus Trojan e infecta seu computador.
A empresa F-secure, que analisou o código malicioso, afirma que o aplicativo envia dados para servidores localizados na Rússia. O método é mais eficaz que a distribuição de códigos pela web, diz a F-secure, pois conta com a ajuda involuntária da vítima.Na Inglaterra, pendrives de baixa capacidade (como 128MB e 256MB) são vendidos a preços populares, inclusive em feiras de produtos usados.
Fonte: INFO
De acordo com a polícia local, os golpistas deixam pendrives espalhados por pontos estratégicos da capital inglesa, afim de atrair vítimas de alta renda. Um dos pontos mais comuns para distribuir os dispositivos são estacionamentos de shoppings de luxo.
O pendrive esquecido, no entanto, contém um código malicioso especialmente desenvolvido para capturar informações bancárias e enviá-las para servidores controlados por crackers. A vítima, pensando ter encontrado um pendrive perdido, leva para casa um vírus Trojan e infecta seu computador.
A empresa F-secure, que analisou o código malicioso, afirma que o aplicativo envia dados para servidores localizados na Rússia. O método é mais eficaz que a distribuição de códigos pela web, diz a F-secure, pois conta com a ajuda involuntária da vítima.Na Inglaterra, pendrives de baixa capacidade (como 128MB e 256MB) são vendidos a preços populares, inclusive em feiras de produtos usados.
Fonte: INFO
Postado por
Alexandro Almeida Figueira
[Segurança na Bahia] - Ataques em nosso estado.
Pessoal,
Segundo o site Zone-H vocês poderão verificar no link indicado abaixo, os ataques direcionados a sites e/ou dominios do governo - ba.gov.br registrado em banco de dados.
Link : http://www.zone-h.org/index.php?option=com_attacks&Itemid=43&filter=1
Abraços a todos...
Alexandro
Segundo o site Zone-H vocês poderão verificar no link indicado abaixo, os ataques direcionados a sites e/ou dominios do governo - ba.gov.br registrado em banco de dados.
Link : http://www.zone-h.org/index.php?option=com_attacks&Itemid=43&filter=1
Abraços a todos...
Alexandro
Postado por
Alexandro Almeida Figueira
Microsoft deixa a porta aberta para ataques de phishing scam
Cyber criminosos sempre apelam aos usuários desavisados para desenhar e projetar seus ataques. Mesmo com as constantes informações feitas por jornais, blogs, revistas e organizações de segurança em TI, este fenômeno, e especialmente o número de vítimas continuam a crescer.
Mas o que acontece com um site considerado como confiável, mas que contém uma “armadilha” para os usuários?
Neste propósito, uma “armadilha” foi descoberta pelo Zone-H no site de vídeo do MSN, onde é possível forçar com uma url especialmente modificada para exibir a seguinte mensagem:
“Este produto requer Microsoft Internet Explorer© 6 com Microsoft Media Player© 10 e Macromedia Flash© 6, ou Mozilla Firefox 1.5 com Macromedia Flash© 8 ou Safari© 2.0.4. Para efetuar o download de algum destes softwares, click no link abaixo e siga as instruções...
Leia matéria na integra: http://www.zone-h.com.br/content/view/449/9/
Mas o que acontece com um site considerado como confiável, mas que contém uma “armadilha” para os usuários?
Neste propósito, uma “armadilha” foi descoberta pelo Zone-H no site de vídeo do MSN, onde é possível forçar com uma url especialmente modificada para exibir a seguinte mensagem:
“Este produto requer Microsoft Internet Explorer© 6 com Microsoft Media Player© 10 e Macromedia Flash© 6, ou Mozilla Firefox 1.5 com Macromedia Flash© 8 ou Safari© 2.0.4. Para efetuar o download de algum destes softwares, click no link abaixo e siga as instruções...
Leia matéria na integra: http://www.zone-h.com.br/content/view/449/9/
Postado por
Alexandro Almeida Figueira
Nova falha explorável no DNS do Windows
A Microsoft® alertou ontem sobre uma falha de segurança, que continua sem correção em algumas versões do Windows. Esta falha tem sido usada por cyber criminosos para atacarem computadores com sistemas operacionais Windows.
Especificamente, o alerta da Microsoft® em seu aviso de segurança é sobre exploits que estão realizando ataques contra uma falha no serviço de DNS (Domain Name Service) nos Windows© 2000 Server SP4, Windows© 2003 SP1 e Windows© 2003 SP2.
As versões Windows 2000 SP2, Windows© XP SP2 e Windows© Vista não são vulneráveis a esta falha, pois não contém o código com a falha...
De acordo com a Microsoft®, esta falha pode ser explorada por usuários maliciosos para executarem códigos com os privilégios do serviço que geralmente são de Sistema Local.
“Um ataque bem sucedido, sem nenhum tipo de interação do usuário, dará acesso total ao computador afetado pela falha”, segundo a Microsoft®.
A Microsoft declarou que está investigando a falha mais a fundo e assim que possível estará liberando uma correção.
Fonte : Zone-H
http://www.zone-h.com.br/content/view/450/11/
Especificamente, o alerta da Microsoft® em seu aviso de segurança é sobre exploits que estão realizando ataques contra uma falha no serviço de DNS (Domain Name Service) nos Windows© 2000 Server SP4, Windows© 2003 SP1 e Windows© 2003 SP2.
As versões Windows 2000 SP2, Windows© XP SP2 e Windows© Vista não são vulneráveis a esta falha, pois não contém o código com a falha...
De acordo com a Microsoft®, esta falha pode ser explorada por usuários maliciosos para executarem códigos com os privilégios do serviço que geralmente são de Sistema Local.
“Um ataque bem sucedido, sem nenhum tipo de interação do usuário, dará acesso total ao computador afetado pela falha”, segundo a Microsoft®.
A Microsoft declarou que está investigando a falha mais a fundo e assim que possível estará liberando uma correção.
Fonte : Zone-H
http://www.zone-h.com.br/content/view/450/11/
Postado por
Alexandro Almeida Figueira
Após três anos, site da Microsoft.com sofre novo ataque
Desta vez o site do “Kit de Administração do Internet Explorer” (Microsoft IEAK), foi à vítima do cracker.
O defacer conhecido como cyb3rt, da Arábia Saudita, o mesmo que efetuou um ataque de XSS contra um dos nossos membros, o qual perdeu seu cookie do hotmail e posteriormente sua senha no Zone-H, foi o autor desta invasão. Segundo informações do defacer, a página continha uma falha de SQL Injection no campo de Login do site, por onde ele conseguiu executar comandos arbitrários de sql e injetar o conteúdo html que alterou a página do sitio da Microsoft IEAK....
Falhas de SQL Injection, que geralmente são exploradas são as famosas ‘OR’=’ mas com o aperfeiçoamento dos programados web os defacers começaram a estudar mais sobre sql e tendem a cada vez mais, dar dores de cabeça para os administradores que não revisam seus códigos.
Muitos administradores acham que um ataque deste tipo pode ocorrer apenas em páginas que usam ASP ou em formulários de logins, mas este tipo de ataque pode ser efetuado em qualquer tipo de página/linguagem, sendo ela ASP, HTML, PHP ou CFM, a única coisa que muda é a maneira como usuários maliciosos às exploram. Sempre que houver um erro no tratamento da consulta SQL poderá haver uma falha explorável para os crackers.As melhores maneiras de um administrador conter tais ataques é revisando o código de suas páginas e trabalhando junto à equipe de programação para mostrar a eles como um código com erros podem gerar problemas futuros.
Como nem sempre revisar todo o código é possível, devido a uma grande quantidade de páginas e poucos funcionários, mesmo assim, existem maneiras de barrar estes ataques utilizando-se de módulos para o Apache como mod_security e usando .htaccess para restringir a execução de strings sql na URL e ativando magic_quotes na configuração do PHP. Em servidores Windows os administradores podem utilizar filtros diretamente em suas páginas como o mostrado neste site. Este filtro valida as expressões utilizadas pelos usuários e podem ajudar o administrador a prevenir estes ataques. Uma das maneiras, e talvez seja a mais importante, é sempre desativar o alerta de erros, pois os avisos de erros que vão aparecendo são o que mostram ao cracker onde ele está e como chegar até o banco de dados ou tabela/coluna que ele está procurando para efetuar o ataque.
Para ver a lista dos sites da Microsoft que sofreram ataque click aqui.
Fonte : http://www.zone-h.com.br/content/view/464/11/
O defacer conhecido como cyb3rt, da Arábia Saudita, o mesmo que efetuou um ataque de XSS contra um dos nossos membros, o qual perdeu seu cookie do hotmail e posteriormente sua senha no Zone-H, foi o autor desta invasão. Segundo informações do defacer, a página continha uma falha de SQL Injection no campo de Login do site, por onde ele conseguiu executar comandos arbitrários de sql e injetar o conteúdo html que alterou a página do sitio da Microsoft IEAK....
Falhas de SQL Injection, que geralmente são exploradas são as famosas ‘OR’=’ mas com o aperfeiçoamento dos programados web os defacers começaram a estudar mais sobre sql e tendem a cada vez mais, dar dores de cabeça para os administradores que não revisam seus códigos.
Muitos administradores acham que um ataque deste tipo pode ocorrer apenas em páginas que usam ASP ou em formulários de logins, mas este tipo de ataque pode ser efetuado em qualquer tipo de página/linguagem, sendo ela ASP, HTML, PHP ou CFM, a única coisa que muda é a maneira como usuários maliciosos às exploram. Sempre que houver um erro no tratamento da consulta SQL poderá haver uma falha explorável para os crackers.As melhores maneiras de um administrador conter tais ataques é revisando o código de suas páginas e trabalhando junto à equipe de programação para mostrar a eles como um código com erros podem gerar problemas futuros.
Como nem sempre revisar todo o código é possível, devido a uma grande quantidade de páginas e poucos funcionários, mesmo assim, existem maneiras de barrar estes ataques utilizando-se de módulos para o Apache como mod_security e usando .htaccess para restringir a execução de strings sql na URL e ativando magic_quotes na configuração do PHP. Em servidores Windows os administradores podem utilizar filtros diretamente em suas páginas como o mostrado neste site. Este filtro valida as expressões utilizadas pelos usuários e podem ajudar o administrador a prevenir estes ataques. Uma das maneiras, e talvez seja a mais importante, é sempre desativar o alerta de erros, pois os avisos de erros que vão aparecendo são o que mostram ao cracker onde ele está e como chegar até o banco de dados ou tabela/coluna que ele está procurando para efetuar o ataque.
Para ver a lista dos sites da Microsoft que sofreram ataque click aqui.
Fonte : http://www.zone-h.com.br/content/view/464/11/
Postado por
Alexandro Almeida Figueira
Código para explorar falha de Photoshop circula na web
A empresa de segurança Secunia alertou para o fato de que um código que permite a hackers explorarem uma falha de segurança no programa Adobe Photoshop está circulando pela web. A Adobe já está ciente do problema e declarou estar investigando a questão.
De acordo com o site BetaNews, a falha está relacionada ao trabalho com arquivos bitmap, que poderiam levar a uma sobrecarga no buffer e comprometer o sistema. O problema afeta as versões CS2 e CS3 do programa.
Mesmo que o código possa ser encontrado publicamente na internet, a Secunia diz não ter recebido nenhuma notificação de ataque até o momento. A empresa também não espera que ocorram muitos incidentes, já que o Photoshop é uma ferramenta de uso maior em grandes agências e empresas.
"O Photoshop é uma ferramenta utilizada principalmente por agências de publicidade e editores de imagem, e não por um grande número de indivíduos para uso particular", explicou Thomas Kristensen, CTO da Secunia.
Como medida de precaução, a firma de segurança sugere que os usuários do programa não abram imagens bitmap vindas de fontes não confiáveis, conforme noticiou o site ZDNet.
Fonte : Terra
De acordo com o site BetaNews, a falha está relacionada ao trabalho com arquivos bitmap, que poderiam levar a uma sobrecarga no buffer e comprometer o sistema. O problema afeta as versões CS2 e CS3 do programa.
Mesmo que o código possa ser encontrado publicamente na internet, a Secunia diz não ter recebido nenhuma notificação de ataque até o momento. A empresa também não espera que ocorram muitos incidentes, já que o Photoshop é uma ferramenta de uso maior em grandes agências e empresas.
"O Photoshop é uma ferramenta utilizada principalmente por agências de publicidade e editores de imagem, e não por um grande número de indivíduos para uso particular", explicou Thomas Kristensen, CTO da Secunia.
Como medida de precaução, a firma de segurança sugere que os usuários do programa não abram imagens bitmap vindas de fontes não confiáveis, conforme noticiou o site ZDNet.
Fonte : Terra
Postado por
Alexandro Almeida Figueira
Hacker francês encontra falhas em programas populares
O hacker francês apelidado Marsu divulgou duas demonstrações para exploração de falhas de populares programas: entre eles os editores de imagem Photoshop, da Adobe, e Paint Shop Pro, da Corel, além do popular tocador multimídia Winamp, da Nullsoft (divisão da AOL).
Uma sobrecarga crítica de buffer no aplicativo Winamp, graças a um erro no módulo libmp4v2.dll, pode ser causada aparentemente por um arquivo de vídeo MP4 malicioso e, assim, oferecer ao hacker a possibilidade de execução de código arbitrário.
Em declaração ao site "heise Security", Marsu afirmou que a demonstração funciona de modo não confiável e que é extremamente direcionada, já que cada versão diferente de Winamp exigiria um arquivo MP4 com um código diferente, caso contrário o arquivo apenas travaria o programa.
A vulnerabilidade foi testada nas versões 5.34 e 5.33, sob o sistema Windows XP com Service Pack 2 instalado e não há atualmente correção para ela. Segundo o site SC Magazine, a AOL afirmou já estar trabalhando para resolver o problema.
Após ter encontrado as vulnerabilidades no processamento de imagens BMP, o hacker francês também descobriu que os programas Photoshop e Paint Shop Pro podem causar uma sobrecarga de buffer ao tentar abrir um arquivo PNG malformado.
Em um exemplo, Marsu demonstrou como é possível fazer com que um arquivo PNG abra a calculadora padrão do Windows. Por utilizar códigos do projeto Metasploit seria fácil, inclusive, que outro hacker pegasse a demonstração e transformasse-a em malware real, afirmou o site "heise Security".
A vulnerabilidade foi confirmada nas versões CS2, CS3 e Elements 5.0 do Adobe Photoshop, enquanto apenas a versão 11.20 do programa Paint Shop Pro, da Corel, parece ser afetada.
Mas, vulnerabilidades do gênero não afetam apenas programas caros: a ferramenta de código aberto Gimp possui uma vulnerabilidade semelhante lidando com arquivos RAS. Já o visualizador de imagens, também gratuito, IrfanView apresenta falhas no processamento do formato IFF.
Até o momento, nenhuma atualização para os problemas listados por Marsu foi lançada, e a recomendação é sempre a mesma: ser cuidadoso ao abrir arquivos recebidos via email ou por programas de transferência de dados de fontes não confiáveis.
Fonte : Terra
Uma sobrecarga crítica de buffer no aplicativo Winamp, graças a um erro no módulo libmp4v2.dll, pode ser causada aparentemente por um arquivo de vídeo MP4 malicioso e, assim, oferecer ao hacker a possibilidade de execução de código arbitrário.
Em declaração ao site "heise Security", Marsu afirmou que a demonstração funciona de modo não confiável e que é extremamente direcionada, já que cada versão diferente de Winamp exigiria um arquivo MP4 com um código diferente, caso contrário o arquivo apenas travaria o programa.
A vulnerabilidade foi testada nas versões 5.34 e 5.33, sob o sistema Windows XP com Service Pack 2 instalado e não há atualmente correção para ela. Segundo o site SC Magazine, a AOL afirmou já estar trabalhando para resolver o problema.
Após ter encontrado as vulnerabilidades no processamento de imagens BMP, o hacker francês também descobriu que os programas Photoshop e Paint Shop Pro podem causar uma sobrecarga de buffer ao tentar abrir um arquivo PNG malformado.
Em um exemplo, Marsu demonstrou como é possível fazer com que um arquivo PNG abra a calculadora padrão do Windows. Por utilizar códigos do projeto Metasploit seria fácil, inclusive, que outro hacker pegasse a demonstração e transformasse-a em malware real, afirmou o site "heise Security".
A vulnerabilidade foi confirmada nas versões CS2, CS3 e Elements 5.0 do Adobe Photoshop, enquanto apenas a versão 11.20 do programa Paint Shop Pro, da Corel, parece ser afetada.
Mas, vulnerabilidades do gênero não afetam apenas programas caros: a ferramenta de código aberto Gimp possui uma vulnerabilidade semelhante lidando com arquivos RAS. Já o visualizador de imagens, também gratuito, IrfanView apresenta falhas no processamento do formato IFF.
Até o momento, nenhuma atualização para os problemas listados por Marsu foi lançada, e a recomendação é sempre a mesma: ser cuidadoso ao abrir arquivos recebidos via email ou por programas de transferência de dados de fontes não confiáveis.
Fonte : Terra
Postado por
Alexandro Almeida Figueira
Web: 70% dos sites têm problemas de segurança
Um estudo realizado pela empresa de segurança Acunetix revelou que sete em cada dez sites possuem vulnerabilidades de segurança que permitiriam ataques de crackers, em alguns casos com brechas para roubo de informações confidenciais.
De acordo com o site VNUNet, para Kevin Vella, vice-presidente da Acunetix, os resultados mostram que os problemas de aplicações web inseguras está sendo "completamente ignorado".
O estudo, realizado durante 2006, consistiu na verificação de 3,2 mil sites pertencentes a companhias e organizações não-comerciais que se ofereceram como voluntárias para o teste de segurança. Os resultados foram assustadores: um total de 210 mil vulnerabilidades, representando uma média de 66 falhas de segurança em cada aplicação online.
Metade de todos os perigos encontrados dizia respeito a vulnerabilidades em bancos de dados SQL, enquanto outros 42% a falhas de cross-scripting, em que crackers inserem códigos em sites e serviços que são posteriormente executados nos computadores dos visitantes.
"Estas estatísticas devem compelir organizações a olhar com seriedade para sua infra-estrutura de segurança. As recentes invasões na TJX, na UCLA e no Dolphin Stadium são provas suficientes de que o problema é bastante real e parece estar aqui para ficar", explicou Kevin.
O vice-presidente da Acunetix acrescentou que as companhias, governo e universidades nos Estados Unidos são obrigados por lei a proteger seus dados, conforme noticiou o site InformationWeek.
Recentemente a empresa Spi Dynamics, especializada em segurança de aplicações web, afirmou que teve 99% de sucesso em explorar falhas de segurança nas aplicações online de seus clientes.
Fonte : Terra
De acordo com o site VNUNet, para Kevin Vella, vice-presidente da Acunetix, os resultados mostram que os problemas de aplicações web inseguras está sendo "completamente ignorado".
O estudo, realizado durante 2006, consistiu na verificação de 3,2 mil sites pertencentes a companhias e organizações não-comerciais que se ofereceram como voluntárias para o teste de segurança. Os resultados foram assustadores: um total de 210 mil vulnerabilidades, representando uma média de 66 falhas de segurança em cada aplicação online.
Metade de todos os perigos encontrados dizia respeito a vulnerabilidades em bancos de dados SQL, enquanto outros 42% a falhas de cross-scripting, em que crackers inserem códigos em sites e serviços que são posteriormente executados nos computadores dos visitantes.
"Estas estatísticas devem compelir organizações a olhar com seriedade para sua infra-estrutura de segurança. As recentes invasões na TJX, na UCLA e no Dolphin Stadium são provas suficientes de que o problema é bastante real e parece estar aqui para ficar", explicou Kevin.
O vice-presidente da Acunetix acrescentou que as companhias, governo e universidades nos Estados Unidos são obrigados por lei a proteger seus dados, conforme noticiou o site InformationWeek.
Recentemente a empresa Spi Dynamics, especializada em segurança de aplicações web, afirmou que teve 99% de sucesso em explorar falhas de segurança nas aplicações online de seus clientes.
Fonte : Terra
Postado por
Alexandro Almeida Figueira
Microsoft obriga pirata a anunciar derrota na imprensa
O pirata inglês M A Jabarkhail foi 'forçado' a publicar um anúncio na revista PC Retail depois que a Microsoft ganhou um caso na justiça contra ele. A publicação do anúncio em revista escolhida pela Microsoft é parte da campanha da empresa para desbaratar grupos que vendem software ilegalmente no eBay, de acordo com o site vnunet.
O anúncio, publicado em um quarto de página, diz: "Foi julgado, em favor da Microsoft, que M A Jabarkhail é culpado de quebra de patente e por copiar e distribuir material com direitos autorais através do site eBay." O anúncio custou ao pirata 370 libras, cerca de R$ 1,5 mil.
Até agora, 55 pessoas foram acusadas. À condenação de Jabarkhail devem se seguir outras, que também vão gerar anúncios semelhantes.
Fonte: Terra Tecnologia
O anúncio, publicado em um quarto de página, diz: "Foi julgado, em favor da Microsoft, que M A Jabarkhail é culpado de quebra de patente e por copiar e distribuir material com direitos autorais através do site eBay." O anúncio custou ao pirata 370 libras, cerca de R$ 1,5 mil.
Até agora, 55 pessoas foram acusadas. À condenação de Jabarkhail devem se seguir outras, que também vão gerar anúncios semelhantes.
Fonte: Terra Tecnologia
Postado por
Alexandro Almeida Figueira
Assinar:
Postagens (Atom)
