Adobe Flash, patch di emergenza contro il bug zero-day

La software house ha rilasciato un aggiornamento "al volo" pensato per correggere un grave problema di sicurezza nel solito Flash Player, un baco già sfruttato dai cyber-criminali per infettare obiettivi di alto profilo

Roma – Questo mese di ottobre avrebbe dovuto rappresentare una felice parentesi priva di aggiornamenti di sicurezza per Flash Player, invece Adobe è stata in questi giorni costretta a tornare sui propri passi con la distribuzione di una nuova versione del plug-in mondata da un bug di sicurezza piuttosto grave , e quel che è peggio già attivamente sfruttato da ignoti criminali informatici per distribuire un noto spyware pirata.

Classificato come CVE-2017-11292 , il bug è stato individuato dai ricercatori di Kaspersky e porta alla corruzione della memoria di Flash Player con conseguente, possibile esecuzione del codice malevolo camuffato all’interno di un file FLV malformato . Il primo stadio dell’attacco (cioè l’exploit vero e proprio) può essere usato per scaricare ed eseguire il malware contenuto in un eseguibile chiamato “mo.exe”.

Il file FLV malevolo può essere distribuito sia tramite una pagina Web compromessa che per altri mezzi, e nel caso in oggetto Kaspersky parla di documenti Office con integrato un oggetto ActiveX la cui esecuzione porta alla corruzione di memoria di cui sopra. Tutte le versioni di Flash Player sono risultate vulnerabili, ha comunicato Adobe, ma gli attacchi in corso erano prevedibilmente indirizzati ai sistemi basati su OS Windows.

I ricercatori russi hanno individuato la vulnerabilità CVE-2017-11292 come parte di nuovi attacchi APT (Advanced Persistent Threat) condotti da BlackOasis , un hacker già noto per aver abusato di un bug zero-day in Flash allo scopo di distribuire una copia pirata dello spyware FinFisher /FinSpy.

Anche nel caso del nuovo bug zero-day, lo scopo principale dell’ignoto cyber-criminale sembrava essere quello di installare l’ultima release di FinFisher sui PC di obiettivi politici presenti in paesi come Russia, Iraq, Afghanistan, Nigeria, Arabia Saudita, Iran, Regno Unito e altri ancora.

L’attacco in corso non sarebbe insomma indirizzato alla compromissione dei PC dell’utente comune, anche se la pubblicazione dei dettagli della falla porterà inevitabilmente alla proliferazione del codice di exploit e all’adattamento in campagne malevole di più ambio respiro.

Alfonso Maruccia

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • number 24 scrive:
    Giusto i 24 lettori

    viviamo in una società in cui la privacy è diventata un esercizio per pochi paranoiciQuesto è il punto chiave: non c'è consapevolezza e non importa a quasi nessuno. C'è perfino chi difende orgogliosamente il brand che lo incula senza pietà. Di conseguenza ne abusano impunemente cani e porci ed è sempre più complicato difendersi. Cercano di spingertelo ancora più dentro con IoT e software sempre più invasivo e dalla sicurezza di un colapasta? Backup su cloud ad insaputa della famosa sciura Maria? Fappening? XXXXXX di Facebook? Yahoo che vi dice dopo 3 anni che ops il tuo account è stato liberamente accessibile a Dimitri e Joe per tutto il tempo? Intanto si riduce la privacy per la "sicurezza" e a NSA e compagnia sfuggono di mano exploit d'ogni sorta? Niente.[img]http://memegenerator.net/img/instances/26697259/non-ce-ne-frega-un-XXXXX.jpg[/img]Anche chi sta un po' attento, è circondato dalle portinaie dei socialcosi che ci pensano loro a postare i tuoi dati, foto e tutto quanto.Si cerca di sensibilizzare su questi problemi? Tutto quel che ottieni è il politico di turno che partorisce leggi demenziali come quella sui cookie, che invece di colpire i pubblicitari avidi di dati, punta il dito verso chi gestisce siti. Così per la solita sciura Maria i cookie ora sono "quella rottura di ovaie ogni volta che guardo un nuovo sito", i pubblicitari ora sono più legittimati di prima e al massimo avrà grattacapi quello del sito. E vissero tutti felici e XXXXXXXX.
    • il giorgetti scrive:
      Re: Giusto i 24 lettori
      Analisi ineccepibile.Ma vale anche per dumdum: parli a una ristrettissima platea, composta oltretutto da una banda di ragazzini (non nell'età ma nella mente) persa nei giochi dell'infanzia, e da un gruppo di persone che sono già imparate.Il risultato sembra più uno sfogo, che qualcosa di realmnete utile.Le masse immense la fuori continuano e continueranno ad essere manipolate, e guideranno purtroppo anche le scelte (quindi obbligate) dei pochi di cui sopra.Un giorno lontano, chissà, forse un disastro, forse qualcos'altro, renderà più consapevoli coloro che non lo sono.
  • dumdum scrive:
    tutto è (in)coscienza
    Faccio giè quello che suggerisce l'articolo a proposito delle autorizzazioni alle app.Tuttavia vorrei far notare due cose.La prima è che malgrado io non dia autorizzazioni superflue o le revochi subito le app "indispensabili", molti dei miei dati sono comunque "prelevati" dagli smartphone di amici, parenti, conoscenti, clienti, fornitori il cui proprietario non è cosciente dei problemi di privacy oppure possiede una versione del SO che non permette di agire sui permessi.La seconda è che anche se la gente viene ogni tanto informata di queste manovre anti-privacy, spesso non capisce, oppure fa finta di non vedere, per potersi sentire non esclusa dal resto della società (che paradossalmente è sempre "la gente"...), e per poter usufruire di "comodità" che altrimenti non giustificherebbero il prezzo enorme che pagano per uno smartphone.E' una spinta potentissima questa, e più la gente si sente isolata per via della tecnologia, più questa spinta, perversamente, aumenta.Basta guardare Apple, campionessa di profilazione a 360 gradi, che ha creato per prima un impero proprio basandosi su questa spinta sociale; ora ovviamente la seguono tutti.
  • aieie brazov scrive:
    perdonate il doppione
    succede...p.s. brazoV
  • aieie brazof scrive:
    E' progresso?
    Proprio l'altro giorno, una cara collega era felice perche' aveva visto il video di come usare lo smartphone come carta di credito, come caricarvi tutte le sue tessere (perche' le donne ne hanno cosi' tante?), i buoni pasto, ecc...Le ho aggiunto "pensa che dalla prossima settimana ci puoi aggiungere il badge e la chiavetta del caffe' e prossimamente la chiave per l'automobile" "Ma daiii, che bello!!!"e poi, perfido, "pensa se te lo fregano..."Cosi' come quegli entusiasti che si sono fatti innestare il cippino sottopelle.Che dire, e' progresso anche questo?
    • Izio01 scrive:
      Re: E' progresso?
      - Scritto da: aieie brazof
      Proprio l'altro giorno, una cara collega era
      felice perche' aveva visto il video di come usare
      lo smartphone come carta di credito, come
      caricarvi tutte le sue tessere (perche' le donne
      ne hanno cosi' tante?), i buoni pasto, ecc...
      Le ho aggiunto "pensa che dalla prossima
      settimana ci puoi aggiungere il badge e la
      chiavetta del caffe' e prossimamente la chiave
      per l'automobile" "Ma daiii, che bello!!!"
      e poi, perfido, "pensa se te lo fregano..."
      Se me lo fregano, in realtà non hanno acXXXXX a nessuna di tutte quelle cose perché non lo possono sbloccare.Se invece mi ciulano il portafogli, allora sì che è grama perché hanno una carta di credito fisica in mano (sì, non uso lo smartphone per quello, così ho ancora la classica carta).Non TUTTO è necessariamente un male :)
      Cosi' come quegli entusiasti che si sono fatti
      innestare il cippino sottopelle.
      Che dire, e' progresso anche questo?
      • brigchi scrive:
        Re: E' progresso?
        Ma non è un male in sé!Anzi, sono cose ottime!E' l'uso che viene fatto dei dati di chi usa la tecnologia, ad essere sotto accusa, non la tecnologia stessa...
      • ... scrive:
        Re: E' progresso?
        - Scritto da: Izio01
        Se invece mi ciulano il portafogli, allora sì che
        è grama perché hanno una carta di credito fisica
        in manoDella carta fisica da sola, senza codice, non se ne fanno proprio un bel niente. E' soltanto un bel pezzetto di plastica colorato.Se invece ti estorcono il pin, o più banalmente lo conoscevano già, perché magari ti hanno osservato mentre lo digitavi... Allora la faccenda comincia ad essere più grave.Ma comunque non gravissima, visto che puoi sempre far bloccare la carta in questione semplicemente richiedendone il blocco alla banca.O eventualmente denunciandone il furto/smarrimento per tempo, in modo da avere in mano la documentazione necessaria a farti ri-accreditare tutte le transazioni non volute anche a posteriori.
        • Izio01 scrive:
          Re: E' progresso?
          - Scritto da: ...
          - Scritto da: Izio01

          Se invece mi ciulano il portafogli, allora sì
          che

          è grama perché hanno una carta di credito fisica

          in mano

          Della carta fisica da sola, senza codice, non se
          ne fanno proprio un bel niente. E' soltanto un
          bel pezzetto di plastica colorato.
          Scherzi? Se hai numero di carta e codice di sicurezza, puoi fare ordini online, tanto per fare un esempio.Mica tutte le carte hanno il PIN, e anche per quelle che ce l'hanno non viene richiesto da tutti i POS. Alcuni accettano la banda magnetica.
          Se invece ti estorcono il pin, o più banalmente
          lo conoscevano già, perché magari ti hanno
          osservato mentre lo digitavi... Allora la
          faccenda comincia ad essere più
          grave.

          Ma comunque non gravissima, visto che puoi sempre
          far bloccare la carta in questione semplicemente
          richiedendone il blocco alla banca.
          O eventualmente denunciandone il
          furto/smarrimento per tempo, in modo da avere in
          mano la documentazione necessaria a farti
          ri-accreditare tutte le transazioni non volute
          anche a posteriori.E questo vale anche con lo smartphone.
          • ... scrive:
            Re: E' progresso?
            - Scritto da: Izio01
            Scherzi? Se hai numero di carta e codice di
            sicurezza, puoi fare ordini online, tanto per
            fare un esempio.Basta attivare il servizio per la segnalazione in tempo reale di ogni transazione svolta con quella carta. Così te ne accorgi subito, e fai annullare tutto nei tempi previsti.
            Mica tutte le carte hanno il PIN,Qui l'errore sta nell'utilizzare carte sprovviste di pin.
            e anche per quelle che ce l'hanno
            non viene richiesto da tutti i POS.
            Alcuni accettano la banda magnetica.Eventualità abbastanza rara, almeno in base alla mia esperienza.Ma anche in questo caso, è sufficiente la segnalazione in tempo reale di ogni attività associata alla carta per tutelarsi.Anche impostare dei limiti massimi giornalieri/mensili per le transazioni effettuate con quella carta, può essere utile. Così sai sempre in anticipo quanto rischi. Insomma del ladruncolo da quattro soldi che ti ciula il portafogli, c'è poco da preoccuparsi. I danni che può fare sono limitati.
  • aieie brazof scrive:
    E' progresso?
    Proprio l'altro giorno, una cara collega era felice perche' aveva visto il video di come usare lo smartphone come carta di credito, come caricarvi tutte le sue tessere (perche' le donne ne hanno cosi' tante?), i buoni pasto, ecc...Le ho aggiunto "pensa che dalla prossima settimana ci puoi aggiungere il badge e la chiavetta del caffe' e prossimamente la chiave per l'automobile" "Ma daiii, che bello!!!"e poi, perfido, "pensa se te lo fregano..."Cosi' come quegli entusiasti che si sono fatti innestare il cippino sottopelle.Che dire, e' progresso anche questo?
  • Mimmus scrive:
    Grazie
    Almeno ancora non ho lo smartphone!Grazie Marco
  • Ah beh ch scrive:
    Ah calamari
    Non so gli altri 23, ma vabbè le riflessioni... a questo lettore devi spiegare metodi nuovi per difendere la propria privacy. Non mi interessa una Mazda (d=z) di capire perché mi devo difendere, voglio capire come. Che abbozzi senza andare a fondo? Non mi spiegare che mi devo proteggere - dammi le marche di preservativi consigliate!E non ti dar noia a scovare chi sono, il mio ip cambia tre stati (extra ed europei) al giorno.
  • xte scrive:
    Qualche aggiunta
    Le auto con medianav&c con sim integrata (per gli aggiornamenti, mappe, traffico non tmc e autovelox, mia per altro eh!) e connessi alla ODB del veicolo, in grado quindi *potenzialmente* di controllare freni, motore, servo di sterzo&c, attraverso internet. Oggi non sono così diffusi ma sono diffusi su tutte le auto di gamma medio-alta e su molte city-car abbastanza "full-optional"... Domani è facile pensare che saranno ovunque. Molti di questi gestiscono anche la retrocamera (e qualche volta l'avancamera) che non vede solo "per terra". Tutti i sistemi di videosorveglianza, incluso i GNU/Linux embedded in violazione della GPL china-style venduti con n marchi on-line completi di "app" Android&c per monitorare le cam da remoto, oramai presenti in un po' tutti i negozi, anche sull'ingresso con ampia vista sui marciapiede in città. Un giro su shodan può dare un po' l'idea. Le nanny-cam e camere nascoste che sempre più gente mette nelle proprie case.I cellulari sono sempre "il sistema di spionaggio potenziale" migliore, ma non sono più gli unici. E nel frattempo videoanalisi e acquisizione audio han fatto passi da gigante.
    • ZLoneW scrive:
      Re: Qualche aggiunta
      Dall'anno prossimo tutte le nuove auto dovranno obbligatoriamente essere dotate di dispositivo eCall - sia chiaro, solo per chiamare i soccorsi in caso di incidente, mica per altro...
      • StoImparand o scrive:
        Re: Qualche aggiunta
        Adesso comincio ad informarmi come proteggere il PC, ma prima devo studiare come riparare il motore della mia automobile perchè non mi piace trovare la pappa pronta
        • xte scrive:
          Re: Qualche aggiunta
          Al di la dell'ironia il punto è che non hai scelta e non perché qualcuno "kattivo" è venuto col mitra a costringerti ma semplicemente perché con la tecnologia in mano a 4 gatti (e non università ma aziende private il cui scopo è guadagnare e basta) non c'è nulla sul mercato.Vuoi riparare la tua auto? Ora puoi ancora far una certa manutenzione in casa (oli&filtri, pastiglie freni per lo più) domani non potrei perché infileranno un chippino pure nelle pastiglie e nei filtri e se la centralina non li sentirà "ufficiali&approvati", firmati con la chiave di un riparatore ufficiale si rifiuterà di far funzionare il veicolo. Ovviamente per la tue e altrui sicurezza eh! Lato PC tra qualche anno i più crederanno che GNU(il /Linux non avrà più senso) sia un'applicazione dell'Windows Store &c così il produttore avrà comunque un ottimo e completo controllo su di te. E scelta non ce ne sarà con DRM&c. E no, non è complottismo, non servono segrete stanze, accade tutto alla luce del sole con tanto di fiumane di ****** in attesa dell'ultimo modello di cetriolo con salasso.
  • quartopiano scrive:
    Quattro chiacchiere con Cassandra
    I FIGLI DEL CONIGLIO[yt]rWm3ghwdOPE[/yt]
    • quintopiano scrive:
      Re: Quattro chiacchiere con Cassandra
      Ho visto i video sul canale. mi sembri un NoGlobal, sai uno di quelli che si lamentano delle multinazionali ma solo dopo aver organizzato la serata al mcdonalds via microsoft skype e aversi fatto il selfie del dopocena da postare su facebook con l'iphone.In pratica ci parli di privacy usando Y-O-U-T-U-B-E di G-O-O-G-L-E come piattaforma? Caro mio, hai poco da insegnarci e molto da imparare.
      • sestopiano scrive:
        Re: Quattro chiacchiere con Cassandra
        esempio da manuale di argumentum ad hominem
      • ... scrive:
        Re: Quattro chiacchiere con Cassandra
        - Scritto da: quintopiano
        Ho visto i video sul canale. mi sembri un
        NoGlobal, sai uno di quelli che si lamentano
        delle multinazionali ma solo dopo aver
        organizzato la serata al mcdonalds via microsoft
        skype e aversi fatto il selfie del dopocena da
        postare su facebook con
        l'iphone.
        In pratica ci parli di privacy usando
        Y-O-U-T-U-B-E di G-O-O-G-L-E come piattaforma?
        Caro mio, hai poco da insegnarci e molto da
        imparare.e cosa avrebbe dovuto fare? rimandarti a suo blog? ma come e' possibile se voi analfaberti di ritorno vi rifiutate di leggere e pretendete il video, che sia non piu' di tre minuti se no vi annoiate? ma XXXXXXXXXXXX.....
        • Wallestain scrive:
          Re: Quattro chiacchiere con Cassandra
          - Scritto da: ...
          - Scritto da: quintopiano

          Ho visto i video sul canale. mi sembri un

          NoGlobal, sai uno di quelli che si lamentano

          delle multinazionali ma solo dopo aver

          organizzato la serata al mcdonalds via microsoft

          skype e aversi fatto il selfie del dopocena da

          postare su facebook con

          l'iphone.

          In pratica ci parli di privacy usando

          Y-O-U-T-U-B-E di G-O-O-G-L-E come piattaforma?

          Caro mio, hai poco da insegnarci e molto da

          imparare.

          e cosa avrebbe dovuto fare? rimandarti a suo
          blog? ma come e' possibile se voi analfaberti di
          ritorno vi rifiutate di leggere e pretendete il
          video, che sia non piu' di tre minuti se no vi
          annoiate? ma vai a
          XXXXXX.....Io ci aggiungerei pure un bel XXXXX!!
          • cazzenstein scrive:
            Re: Quattro chiacchiere con Cassandra
            Intervento completamente inutile, come sempre. Infila la testa nel XXXXX e tira lo sciacquone.
      • Marco Calamari scrive:
        Re: Quattro chiacchiere con Cassandra
        - Scritto da: quintopiano
        Ho visto i video sul canale. mi sembri un
        NoGlobal, sai uno di quelli che si lamentano
        delle multinazionali ma solo dopo aver...
        In pratica ci parli di privacy usando
        Y-O-U-T-U-B-E di G-O-O-G-L-E come piattaforma?
        Caro mio, hai poco da insegnarci e molto da imparare.Ho qualcosa da raccontare e certamente moltissimo da imparare, ma senz'altro non da te.
        • segugio granfiuti scrive:
          Re: Quattro chiacchiere con Cassandra
          Fake
          • panda arrugginit a scrive:
            Re: Quattro chiacchiere con Cassandra
            Anche se non è fake è sicuramente una risposta demenziale, visto che non ha risposto alla critica ma s'è limitato a dire che "non ha nulla da imparare" da uno che non sa manco chi sia.
Chiudi i commenti