Autores de código malicioso podrían incitar a Windows Update a distribuir virus, previenen investigadores de seguridad de Symantec.

Análisis de la firma de seguridad revelan que recientemente se distribuyo un troyano vía correo electrónico a finales de marzo de 2007, utilizando después el componente denominado BITS “Background Intelligent Transfer Service” para descargar archivos.

BITS es un componente de Windows que permite la transferencia de archivos entre equipos. El servicio es utilizado por Windows Update, Windows Server Update Services y Systems Management Server para entregar actualizaciones a los clientes. Este también es utilizado por la mensajeria instantánea para facilitar la transferencia de archivos. El servicio de descarga asíncrona es una elegante manera de descargar archivos mientras se consume un mínimo de ancho de banda. Pero este puede ser utilizado por hacker para descargar código malicioso, lo cual le ofrece una gran ventaja a los hackers.

“Usando BITS para descargar archivos maliciosos es una manera inteligente y engañosa debido a que pasa los firewalls locales, así como que la descarga es realizada por el propio Windows, y no requiere de acciones sospechosas por el proceso de inyección” explico en una publicación Elia Florio investigador de Symantec.

El método debería ser utilizado para descargar componentes adicionales de spyware en un equipo infectado sin alertar al usuario de que algo anda mal, terminando firewalls personales, inyectando código malicioso en componentes de confianza del SO, o realizar otras actividades maliciosas.

El método de descarga de BITS ha sido conocido como una manera de terminar firewalls desde finales de 2006. Sin embargo, el troyano alemán representa un refinamiento de la técnica al descargar componentes de código malicioso dentro del sistema, evadiendo el firewall.

Peor aun, no existe una solución temporal que proteja contra este tipo de ataques. “No es fácil verificar lo que esta descargando BITS y que no sea descargado” comento el investigador de Symantec, agregando que el mal uso que se le da a BITS es un buen ejemplo de “que las buenas tecnologías son usadas para malos propósitos”

Florio comento que Microsoft necesita modificar su software con una corrección que proteja contra un ataque de este tipo. “Probablemente la interfaz de BITS debería ser diseñada para ser accesible sólo con un alto nivel de privilegios, o descargas con BITs deberían ser restringidas sólo a URLs de confianza,” comento Florio.

Siguiendo su ciclo mensual de actualizaciones, Microsoft liberó el día de hoy 7 actualizaciones de seguridad todos con la categoría de crítica. A continuación se proporciona un resumen de los boletines. Vulnerabilidades en Microsoft Word podría permitir la ejecución remota de código (934232)

Este boletín corrige varias vulnerabilidades en Word, las cuales podrían permitir la ejecución remota de código. La vulnerabilidad afecta a Word, Works y Works Suites en diversas versiones.

Vulnerabilidades en Microsoft Exchange podrían permitir la ejecución remota de código (931832)
Este boletín corrige varias vulnerabilidades en Exchange, las cuales sin son explotadas con éxito por un intruso podrían darle el control total del equipo afectado o realizar una negación de servicio o revelar información. La vulnerabilidad afecta a Exchange en diversas versiones.

Vulnerabilidades en Microsoft Excel podrían permitir la ejecución remota de código (934233)
Este boletín corrige múltiples vulnerabilidades en Excel que podrían permitirle a un intruso ejecutar código remoto con lo cual podría tomar el control total del sistema afectado. La vulnerabilidad afecta a Excel en las versiones de Windows y Mac.

Vulnerabilidad en el Servidor DNS de Windows con RPC podría permitir la ejecución remota de código (935966)
Este boletín corrige una vulnerabilidad en el servicio de DNS que podría permitirle a un intruso tomar el control total del sistema afectado. La vulnerabilidad afecta a Windows 2000 y 2003.

Vulnerabilidad en Microsoft Office podrían permitir la ejecución remota de código (934873)
Este boletín corrige una vulnerabilidad en Office que podrían permitirle a un intruso ejecutar código y tomar el control total del sistema afectado. La vulnerabilidad afecta a varias versiones de Office.

Vulnerabilidad en CAPICOM podría permitir la ejecución remota de código (931906)

Este boletín corrige una vulnerabilidad en CAPICOM que podría permitirle a un intruso la ejecución de código, con lo que podría tomar el control total del sistema afectado. La vulnerabilidad afecta a BizTalk y CAPICOM.

Actualización de seguridad acumulativa para Internet Explorer (931768)
Esta actualización corrige múltiples vulnerabilidad en Internet Explorer, las cuales podrían permitirle a un intruso tomar el control total del sistema afectado. La vulnerabilidad afecta a Internte Explorer 5, 6 y 7.

Como parte de su ciclo mensual de actualizaciones, Microsoft proporciona el avance de los boletines de seguridad.  Para el próximo 8 de mayo Microsoft esta planeando liberar siete actualizaciones de seguridad de la siguiente manera:

• Dos boletines de seguridad de Microsoft corrigen problemas en Microsoft Windows. La más alta severidad encontrada en estos será de crítica.
• Tres de los boletines de seguridad de Microsoft corrigen problemas en Microsoft Office. La más alta severidad encontrada en estos será de crítica.
• Uno de los boletines de seguridad corrige problemas en Microsoft Exchange. La severidad en este boletín será de Crítica.
• Uno de los boletines corrige problemas en CAPICOM y BizTalk. La severidad en este boletín será de Crítica.

Estas actualizaciones pueden requerir reiniciar el equipo, además de que podrán ser detectadas a través de MBSA.

Microsoft también planea liberar una actualización de su herramienta de detección de código malicioso.  

Además Microsoft planea liberar una actualización de alta prioridad, no siendo esta de seguridad, a través de Windows Update y SUS.  Y seis actualizaciones de alta prioridad, no siendo estas de seguridad, a través de Microsoft Update y WSUS.

Según declaraciones previas de Microsoft una de estas actualizaciones corregirá la vulnerabilidad en el servicio de DNS de Windows y el RPC.

Referencias:

Microsoft Security Bulletin Advance Notification

http://www.microsoft.com/technet/security/bulletin/advance.mspx