Spyware, da Java a IE via Firefox

Un ricercatore ha scoperto l'esistenza di una applet Java malevola capace di sfruttare alcuni browser alternativi, come Firefox e Netscape, per installare spyware e altri ficcanasi in IE


Roma – I diabolici spyware possono introdursi in Internet Explorer persino quando un utente sta utilizzando un browser alternativo. A renderlo possibile è un applet Java malevola capace di utilizzare certi browser, tra cui Firefox, per installarsi nel sistema e inoculare in IE uno svariato numero di ospiti indesiderati.

L’esperto di sicurezza Christopher Boyd, dell’organizzazione non profit Vitalsecurity , ha spiegato in questo articolo che l’applet trae vantaggio da una vulnerabilità del Java Runtine Environment (JRE) di Sun, la tecnologia su cui si appoggiano quasi tutti i browser in circolazione per eseguire il codice Java contenuto all’interno delle pagine web. Se usata in combinazione con i browser della famiglia Mozilla o altri software alternativi a IE, la vulnerabilità può essere sfruttata da webmaster o advertiser senza scrupoli per attivare automaticamente IE e installare adware e spyware. Il trucco, secondo gli esperti, funziona persino quando in IE è impostato il massimo livello di protezione.

C’è tuttavia da sottolineare come l’applet malevola rilasci nel PC il suo carico di malware solo nel caso in cui l’utente ne autorizzi espressamente l’esecuzione. Boyd ritiene però che gli utenti meno smaliziati possano facilmente sbagliarsi e, di fronte alla richiesta di autorizzazione del browser, cliccare sul pulsante “sì”.

“L’aspetto più importante della faccenda è che ci troviamo di fronte ad un nuovo tipo di exploit che non solo è capace di infettare IE e Windows attraverso Java, ma che lo fa quando si utilizza un browser alternativo”, ha affermato Boyd.

L’altro elemento di novità è costituito dal fatto che questa volta gli “untori”, a dispetto del solito, si sono avvalsi di una applet Java invece che di un componente ActiveX: questo gli ha permesso di creare una sorta di cavallo di Troia, identificabile con il file javainstaller.jar , capace di funzionare con molti dei browser che supportano la macchina virtuale Java di Sun.

Nei suoi test, Boyd dice di aver verificato il funzionamento dell’applet con le ultime versioni di Firefox, Mozilla, Avant e Netscape: si salverebbero Opera e NetCaptor. Daniel Veditz, a capo del Security Group di Mozilla Foundation, afferma tuttavia che con i giusti permessi il codice malevolo viene eseguito anche sotto questi ultimi due browser. Tale fatto sembra però suggerire che il problema, se pure causato da una presunta vulnerabilità di Java, poteva forse essere mitigato da più efficaci protezioni di sicurezza lato browser.

Negli scorsi giorni Secunia ha segnalato in questo advisory una vulnerabilità che interessa Firefox, Mozilla e Thunderbird “utilizzabile da un malintenzionato per mascherare gli URL e indurre l’utente a salvare file malevoli”. Tramite questa falla è infatti possibile, per un sito web, mostrare un URL differente da quello reale quando l’utente passa con il cursore su di un link o vi clicca col tasto destro. Secunia valuta il grado di pericolosità della falla come “non critico”.

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Anonimo scrive:
    Se poi c'è uno scalino...
    ...Addio stupida cam!!! rotflCerto che quella rotellina piccola lì davanti è una bella limitazioneAnche semplicemente su un pavimento non perfettamente regolare tipo l'asfalto secondo me inciampa :(
  • Anonimo scrive:
    Sai che novità!
    Io è da due anni che lo faccio con il motion ( motion.sourceforge.net ). E non via bluetooth, anche via gprs e UMTS.
  • Anonimo scrive:
    la metterei sotto la scrivania della mia
    impiegata...!Non vedo l'ora che esca...
    • Anonimo scrive:
      Re: la metterei sotto la scrivania della
      Chi si è permesso di dare voto negativo? E' da 10 quest'intervento! Forse sta cam ha un'unica utilità... sotto la scrivania della segretaria! Te hai la postazione che ne so a una decina di metri... e sei apposto! ;)Svegli eh, mi raccomando
  • Anonimo scrive:
    Col BT a che serve?poca distanza.
    Come da oggetto. A che sevre comandare un cam se la distanza operativa non è superiore a 1 metro? il BT dei cellulari di piu non va...a quella distanza ciò che vede la cam lo si vede anche da soli... mah
    • Anonimo scrive:
      Re: Col BT a che serve?poca distanza.
      Il mio auricolare con il BT, garantito per un metro, 6-7 metri con un muro in mezzo li regge tranquillamente....poi comincia a fare rumore
  • Anonimo scrive:
    bluetooh? ora è illegale su linux!!
    Proprietà intellettuali,brevetti.. anche il supporto Bluetooth è andato...Fino ad oggi per sapere se una data periferica Bluetooth(c) era compatibile con Linux o meno bastava fare un salto sul sito di BlueZ. D'ora in avanti, scordiamocelo. Il 9 marzo 2005 la protesta di un membro registrato del Bluetooth(c) SIG ha fatto rimuovere la lista di dispositivi. L'uso di Linux per utilizzare queste interfacce è una violazione dell'accordo di licenza del protocollo Bluetooth(c).Il problema, come spesso accade, sta proprio nella (c)...http://www.holtmann.org/linux/bluetooth/devices.htmlleggete leggete, colgo l'occasione, in riferimento al software MPlayer e a tutti quelli che ben presto chiuderanno lo sviluppo causa brevetti software, per ringraziare il ministro Stanca! grazie signor ministro di aver anche appoggiato i brevetti software in europa, mi ricorderò di lei andando a votare, non ne dubiti, farò in modo che anche i "non tecnici" capiscano bene cosa ha fatto come loro rappresentante.
    • Anonimo scrive:
      Re: bluetooh? ora è illegale su linux!!
      1) Quello non c'entra un cavolo con i brevetti. Ma con il Copyright: nessuno ti può diffidare o impedire di utilizzare per i tuoi device bluethooth tecnologie Linux; solo che Linux (o meglio qualsiasi cosa ruoti attorno a Linux) non può utilizzare il nome bluethooth; semplicemente perchè non è autorizzato dal consorzio bluethooth.Può ad esempio esserlo una distro Linux che si sia assicurata questi diritti: ma allora solo in siti dedicati a questa distro si può utilizzare il nome bluethooth.Lo stesso problema possono averlo altri o.s.; ad esempio anche Tru64 se HP che si è assicurata il diritto di usare il nome, non l'ha magari esteso a questo suo UNIX.Se desiderano; possono continuare ad elencare quei prodotti come compatibili con Linux, senza riferirsi al nome bluethooth (si, lo sò: non avrebbe molto senso).2) Se dovevi cercare un modo per fare propaganda politica alla SX, è bene ricordarsi che alcuni deputati della SX italiana (e non solo), come Rutelli hanno votato a favore del primo testo della normativa pro-brevetti-modello-USA poi rigettata (tra l'altro Rutelli votò anche a favore della normativa che consentiva di chiamare cioccolato anche quello con aggiunti fino al 4% grassi diversi dal burro di cacao).Quando avrai memorizzato questo, e ricordato che Stanca ha varato il decreto che impone alle PA di mandare documenti fuori di esse (anche tra PA) solo in formato pubblico, e ha varato il decreto che consente alle PA di scegliersi il sw (tra closed e open) che preferiscono; ti sarà sbollita l'ira propagandistica.Ma capire prima di scrivere e sopratutto prima di fare propaganda alla propria parte politica, (IMMERITATA COME MAI IN QUESTO CASO!) non sarebbe meglio??Se prendessi per buono ciò che hai scritto, e lo confrontassi con la realtà, non dovrei concludere di votare a DX?!!?
      • matcion scrive:
        Re: bluetooh? ora è illegale su linux!!

        1) Quello non c'entra un cavolo con i brevetti.
        Tra l'altro prima che sia applicato qualcosa passeranno ancora alcuni anni.
        Quando avrai memorizzato questo, e ricordato che
        Stanca ha varato il decreto che impone alle PA di
        mandare documenti fuori di esse (anche tra PA)
        solo in formato pubblico, Cosa si intende per formato pubblico? oltre al formato testuale che c'è?
        • kubu scrive:
          Re: bluetooh? ora è illegale su linux!!
          Credo che intendesse formato non proprietario, come il .doc del word.
          • matcion scrive:
            Re: bluetooh? ora è illegale su linux!!
            - Scritto da: kubu
            Credo che intendesse formato non proprietario,
            come il .doc del word.Ma anche il PDF è proprietario, così come il formato di OO o quello di abiword.
          • Anonimo scrive:
            Re: bluetooh? ora è illegale su linux!!
            RTF non credo sia proprietario...
      • Anonimo scrive:
        Re: bluetooh? ora è illegale su linux!!
        - Scritto da: Anonimo
        1) Quello non c'entra un cavolo con i brevetti.
        Ma con il Copyright: ---[ cut ]--------infatti ho scritto:colgo l'occasione, in riferimento al software MPlayer e a tutti quelli che ben presto chiuderanno lo sviluppo causa brevetti software, per ringraziare il ministro Stanca! sai leggere?
        2) Se dovevi cercare un modo per fare propaganda
        politica alla SX, è bene ricordarsi che alcuni
        deputati della SX italiana (e non solo), come
        Rutelli hanno votato a favore del primo testo
        della normativa pro-brevetti-modello-USA poi
        rigettata (tra l'altro Rutelli votò anche a
        favore della normativa che consentiva di chiamare
        cioccolato anche quello con aggiunti fino al 4%
        grassi diversi dal burro di cacao).

        Quando avrai memorizzato questo, e ricordato che
        Stanca ha varato il decreto che impone alle PA di
        mandare documenti fuori di esse (anche tra PA)
        solo in formato pubblico, e ha varato il decreto
        che consente alle PA di scegliersi il sw (tra
        closed e open) che preferiscono; ti sarà sbollita
        l'ira propagandistica.

        Ma capire prima di scrivere e sopratutto prima di
        fare propaganda alla propria parte politica,
        (IMMERITATA COME MAI IN QUESTO CASO!) non sarebbe
        meglio??
        Se prendessi per buono ciò che hai scritto, e lo
        confrontassi con la realtà, non dovrei concludere
        di votare a DX?!!?ma che ca..stai a di?ma ti senti?non sono le chiacchiere ma i fatti quelli che contano!i fatti dicono che il voto favorevole dell'italia è stato datopunto e basta il resto sono elucubrazioni tue, a me della politica non me ne frega uncà.. ma ti assicuro che di opensourc, linux etc..me ne frega abbastanza pertanto farò valere il mio votopunto e basta, le chiacchiere stanno a 0
        • Anonimo scrive:
          Re: bluetooh? ora è illegale su linux!!
          1) Che in ciò che hai scritto non c'entri niente la politica, è talmente risibile, proprio perchè è ovvio che è meglio lasciar correre.2) Che tu dia più importanza ai brevetti sw e quindi al comportamento tenuto dagli amministratori (astenzione o votazione), rispetto all'obbligo di rilasciare i documenti con formati pubblici e alla libertà per ogni singola PA di scegliere il sw open o closed; sono tue libere visioni che tra l'altro condivido come ordine d'importanza. Che tu dia più grave la colpa (come ritieni sia) di votare/astenersi sul provvedimento EU dei brevetti, ad un ministro rispetto ad un semplice politico, sono sempre tue convinzioni che non condivido assolutamente (se colpa c'è, per me pari sono).Ecco per l'appunto queste sono tue convinzioni (che posso o meno condividere); cioè chiacchiere, il resto sono fatti.3) Tu non sai minimamente (cosi pare) la differenza tra un copyrigth di un marchio e un brevetto (o se lo sai, stai solo confondendo a puro scopo politico).I brevetti nascono per difendere (giusto o meno che sia; o meglio, meritato o meno che sia; visto che c'è chi ha brevettato il dondolarsi sull'altalena in un certo modo). Se qualcuno ha brevettato quella tecnologia non la puoi usare a meno di accordi commerciali. Il copyrigth difende un marchio e trova nel nome proprio la sua difesa (e non nella tecnologia).Il bluetooth è un insieme di marchio e specifiche tecniche (rese pubbliche). Se vuoi far aderire il tuo prodotto a quelle specifiche devi semplicemente farlo con una tecnologia che risponda in pieno a quelle specifiche (tecnologia che puoi brevettare); e pagare nel momento in cui viene messo in commercio le royalts all'ideatore/i delle specifiche (che alla fine paga chi acquista il prodotto fisico). Se poi, vuoi fregiare il prodotto del marchio bluetooth devi pagare le royalts sul marchio al consorzio bluetooth (che può anche prevedere dell'altro, come l'adesione forzata al consorzio stesso), essendo il marchio registrato.Quindi qualsiasi tecnologia fisica o metafisica che voglia fregiarsi del marchio bluetooth deve pagare le royalts per il marchio: non per il brevetto. Quelle le paga (casomai venga concesso) se sfrutta una tecnologia per le specifiche bluetooth già brevettata.Ragion per cui, se il sito da te citato vuole continuare ad utilizzare il nome bluetooth accanto a Linux, deve pagare le royalts per il marchio al consorzio.Ma nessuno impedisce al kernel Linux di utilizzare tecnologie per sfruttare le specifiche bluetooth dei device relativi; basta che queste non siano già brevettate; e basta che non citi accanto a queste tecnologie il nome bluetooth.Ora spero sia più chiaro!!
          • Anonimo scrive:
            Re: bluetooh? ora è illegale su linux!!
            - Scritto da: Anonimo-----[CUT]------
            2) Che tu dia più importanza ai brevetti sw e
            quindi al comportamento tenuto dagli
            amministratori (astenzione o votazione), rispetto
            all'obbligo di rilasciare i documenti con formati
            pubblici e alla libertà per ogni singola PA di
            scegliere il sw open o closed; sono tue libere
            visioni che tra l'altro condivido come ordine
            d'importanza. beh, si certo! ..anche se io non ho mai mensionato o fatto paralleli con i formati pubblici
            Che tu dia più grave la colpa (come
            ritieni sia) di votare/astenersi sul
            provvedimento EU dei brevetti, ad un ministro
            rispetto ad un semplice politico, sono sempre tue
            convinzioni che non condivido assolutamente (se
            colpa c'è, per me pari sono).
            Ecco per l'appunto queste sono tue convinzioni
            (che posso o meno condividere); cioè chiacchiere,
            il resto sono fatti.io do grave colpa ad entrambi incluso te perchè cerchi di far differenza, questi tizi hanno contribuito negativamente con dei fatti e io contribuirò negativamente con i fatti dove gli duole.Ti è sufficentemente chiaro o vuoi un schema?
            3) Tu non sai minimamente (cosi pare) la
            differenza tra un copyrigth di un marchio e un
            brevetto (o se lo sai, stai solo confondendo a---[CUT]-----
            Ora spero sia più chiaro!!guarda che si scrive copyright ...bye
    • Anonimo scrive:
      Re: bluetooh? ora è illegale su linux!!
      - Scritto da: Anonimo
      Il 9 marzo 2005
      la protesta di un membro registrato del
      Bluetooth(c) SIG ha fatto rimuovere la lista di
      dispositivi. Sai per caso dove posso trovare tale lista che la piazzo immediatamente sul P2P e poi vediamo con chi fanno i bulli.Ciao, Luca
      • Anonimo scrive:
        Re: bluetooh? ora è illegale su linux!!
        - Scritto da: Segfault
        Sai per caso dove posso trovare tale lista che la
        piazzo immediatamente sul P2P e poi vediamo con
        chi fanno i bulli.La cache di google è un amore...http://216.239.57.104/search?q=cache:http%3A//www.holtmann.org/linux/bluetooth/devices.htmlCiao, Luca
    • Anonimo scrive:
      Re: bluetooh? ora è illegale su linux!!
      - Scritto da: Anonimo
      Proprietà intellettuali,brevetti.. anche il
      supporto Bluetooth è andato...Bye bye Pingui, finalmente un mondo LIBERO da voi!!!! Sorridete!!!!
      • Anonimo scrive:
        Re: bluetooh? ora è illegale su linux!!
        Io sorrido... perchè sono molto contento che tu abbia trovato una tua ragione di esistere.... Linux ha aiutato anche te.Oggi ti senti un po' meno inutile perchè hai un motivo di vivere:venire qui e renderti ridicolo mostrando odio e risentimento nei confronti di un sistema operativo.....
  • Anonimo scrive:
    JSR 82 utile e bella ma...
    purtroppo i produttori di telefoni raramente includono questa api di supporto al bluetooth..peccato ..
  • awerellwv scrive:
    Cebit
    Cavolo io sono appena tornato dal CEbit ma ho totalmente snobbato la telefonia cellulare...bum torno in italia e vedo ovunque novita' sui cellulari!!! mi sa che quest'anno ho sbagliato stand da vedere...la cam e' bellissima!!!
Chiudi i commenti