Vulnerabilidade 0-day atinge Adobe Reader

Adobe está investigando o caso, mas ainda precisa confirmar se o exploit contorna a proteção de segurança das versões 10 e 11 do software

Pesquisadores da empresa de segurança FireEye afirmam quem crackers estão ativamente utilizando um exploit para execução de código remoto que funciona nas versões do Adobe Reader 9, 10 e 11.

"Hoje identificamos que a PDF 0-day (vulnerabilidade) está sendo explorada na rede, e observamos alguns ataques bem sucedidos nas últimas versões do Reader 9.5.3, 10.1.5 e 11.0.1", disseram os pesquisadores da FireEye na terça-feira (12/2), no blog da empresa.

O exploit entrega e carrega dois arquivos DLL no sistema. Um deles exibe uma mensagem falsa de erro e abre o documento PDF que é utilizado como isca, disseram os pesquisadores da empresa de segurança.

Exploits de execução de código remoto normalmente travam os programas atingidos. Mas, nesse caso, a mensagem falsa de erro e o segundo documento são provavelmente usados para fazer com que os usuários acreditem que o travamento foi resultado de um simples mau funcionamento e o programa se recuperou com sucesso.

Enquanto isso, o segundo arquivo DLL instala um componente malicioso que se conecta com um domínio remoto, disseram os pesquisadores da FireEye.

Ainda não está claro como o exploit do PDF está sendo entregue em primeiro lugar - se por email ou sites - ou quem são os alvos dos ataques. A FireEye não respondeu imediatamente quando procurada para dar informações adicionais sobre o caso.

"Nós já enviamos uma amostra para a equipe de segurança da Adobe", disseram os investigadores FireEye no post do blog. "Antes de obter a confirmação da empresa e de ter um plano de mitigação disponível, sugerimos que o usuário não abra qualquer arquivo PDF desconhecido."

A Equipe de Resposta a Incidentes de Segurança com Produtos da Adobe (PSIRT) confirmou na terça-feira (12/2) em um post no blog da empresa que está investigando o relato de uma vulnerabilidade no Reader e no Acrobat XI (11.0.1) e versões anteriores que estão sendo exploradas na rede. O risco aos consumidores ainda está sob avaliação, disse a empresa.

Protegido, mas nem tanto:

Sandboxing é uma técnica antiexploração que isola operações sigilosas de um programa em um ambiente estritamente controlado, a fim de prevenir que atacantes escrevam e executem códigos no sistema subjacente - mesmo depois de explorar uma vulnerabilidade que permite execução de código remoto no tradicional código do programa.

Uma exploração bem sucedida contra um programa com sandbox levaria a múltiplas vulnerabilidades, incluindo uma que permite ao exploit escapar da técnica de segurança.

Tais vulnerabilidades de contorno da sandbox são raras, porque o código que implementa o método de segurança geralmente é revisado cuidadosamente e é relativamente pequeno em comparação com o comprimento do código-base geral do programa, que pode conter vulnerabilidades.

A Adobe acrescentou o mecanismo para isolar as operações do modo protegido (Protected Mode) do Adobe Reader 10. A sandbox foi ampliada para cobrir operações somente de leitura, bem como no Adobe Reader 11, por meio de um segundo mecanismo chamado de Exibição Protegida.

Real Perigo

Em novembro, pesquisadores de segurança do empresa russa Group-IB informaram que um kit de exploração para o Adobe Reader 10 e 11 estava sendo vendido em fóruns cibercriminosos por 30 mil e 50 mil dólares. A existência do exploit não foi confirmada pela Adobe na época.

"Antes da introdução da sandbox, o Reader foi um dos aplicativos mais visados ​​por cibercriminosos", disse o analista sênior de ameaças online da empresa de antivírus BitDefender, Bogdan Botezatu, nesta quarta-feira por e-mail. "Se confirmada, a descoberta de um buraco no mecanismo de defesa será de importância crucial e será maciçamente explorada por cibercriminosos, definitivamente."

Botezatu acredita que passar pelo mecanismo de defesa é uma tarefa difícil, mas ele espera que isso aconteça em algum momento. Afinal, o grande número de instalações do Reader torna o produto um alvo atraente para cibercriminosos. "Não importa o quanto as empresas investem em testes, elas ainda não podem garantir que suas aplicações estão livre de bugs, quando implantadas em máquinas de produção", disse ele.

Infelizmente usuários do Adobe Reader não tem muitas opções para se protegerem caso essa vulnerabilidade realmente exista, exceto serem extremamente cuidadosos com os arquivos e links que abrirem, disse Botezatu. Os usuários devem atualizar suas instalações tão logo uma correção esteja disponível, acrescentou.

Carreira em TI: Seis passos para se recolocar no mercado de trabalho

Assim como as atribuições dos gestores de TI, as formas como esses executivos devem agir durante o processo de recolocação profissional mudaram. Enviar dezenas de currículos genéricos por e-mail é um exemplo de iniciativa que, além de não ajudar, pode piorar a percepção dos recrutadores e dos potenciais contratantes sobre o candidato.

Mais do que capacitação, experiência e networking, o profissional deve, na prática, adotar uma estratégia para conseguir se comunicar diretamente com os responsáveis pela seleção de executivos. Para tanto, seguem algumas dicas de como se aproximar dos recrutadores e causar neles a percepção de credibilidade:

1. Foque suas atividades e o envio de currículos de acordo com o possível empregador ou empresa de recrutamento. Customize ao máximo o material que será enviado a tal profissional e destaque as atividades realizadas que sejam mais relacionadas às necessidades da vaga pleiteada;

2. Trate o recrutador formalmente, mas de modo casual. Dispense frases feitas e respostas como “meu maior defeito é trabalhar demais” ou “sou muito exigente comigo mesmo e não finalizo uma tarefa até que esteja perfeita”. Aja da forma mais natural possível para que o futuro empregador consiga conhecer um pouco de sua personalidade pelo currículo ou entrevista;

3. Não tente esconder períodos nos quais ficou desempregado no currículo. Assim que o recrutador perceber que você não citou determinada época, perceberá a omissão e terá uma péssima primeira impressão. Preencha esses gaps no currículo listando trabalhos voluntários e/ou cursos realizados no período;

4. Resuma as informações que devem ser passadas ao recrutador. Enfatize as experiências relacionadas ao trabalho ao qual está pleiteando e elimine dados muito antigos ou que não tenham relevância. Lembrem-se de que o contratante não tem muito tempo para dedicar a cada currículo recebido;

5. No caso das referências, passe os contatos apenas dos profissionais com os quais trabalhou nas atividades relacionadas à vaga em questão. Não se preocupe com cargos e sim com o conteúdo que esses antigos colegas poderão passar ao contratante;

6. Mesmo depois de se recolocar, continue os esforços para fazer networking.

FONTE: Dave Willmer, Computerworld/EUA

Pentágono planeja aumentar ciberforças dos EUA em 4 mil pessoas

O Pentágono está planejando expandir sua força de segurança cibernética quase cinco vezes ao longo dos próximos anos, em uma tentativa de reforçar as suas capacidades defensivas e ofensivas em computadores.

O objetivo é acrescentar cerca de 4 mil soldados e civis nos atuais 900 funcionários dentro do Comando Cibernético do Departamento de Defesa dos EUA, segundo informou o jornal Washington Post, citando diversas fontes anônimas.

A expansão é uma resposta às crescentes ameaças contra ativos críticos no ciberespaço dos EUA, disse um funcionário da Defesa, em entrevista à Computerworld na segunda-feira.

"Como declarou o secretário Panetta em seu discurso sobre ciberespaço em outubro passado, estamos diante de uma ameaça crescente de um ataque cibernético que poderia ser tão destrutivo como o ataque terrorista de 11 de setembro," disse o oficial. "O departamento reconhece esse perigo e está trabalhando com urgência para colocar as políticas e estruturas no lugar para que possamos realizar o nosso papel."

O funcionário disse ainda que o Departamento de Defesa trabalhará juntamente com o Ciber Comando dos Estados Unidos para desenvolver uma "estrutura de força melhorada", a fim de lidar com as ciberameaças emergentes.

A ideia é a criar três tipos distintos de ciberforça, cada uma encarregada de funções e responsabilidades específicas. Essa estrutura incluirá as Forças de Cibermissão Nacional, Força de Missão de Combate e Forças de Ciberproteção​, disse o oficial.

A Força Nacional e a Força de Ciberproteção irão se concentrar em enfrentar as ameaças a alvos de infraestruturas críticas e redes do Departamento de Defesa, respectivamente. Enquanto isso, a Força de Missão de Combate será responsável pelo planejamento e execução de operações ofensivas e ataques no ciberespaço.

"Enquanto o modelo de estrutura cibernético básico é claro, o plano de implementação para alcançá-lo ainda está sendo desenvolvido e está em fase de decisão neste momento," disse o oficial.

A expansão planejada vem em meio ao aumento de preocupações sobre as vulnerabilidades dos EUA no espaço cibernético. Muitos acreditam que o país já está no meio de uma guerra cibernética não declarada e, principalmente, invisível dirigida contra ele por nações inimigas e grupos criminosos bem-financiados e altamente organizados, além de grupos hactivistas.

FONTE: IDGNow

ARGUS: a câmera com a maior resolução do mundo

Com a resolução de 1,8 gigapixel, uma supercâmera militar foi criada para ser usada em missões de espionagem em tempo real, e aponta para as novas tendências do mercado da fotografia digital.

A DARPA (Defense Advanced Research Projects Agency), uma agência do Ministério da Defesa dos Estados Unidos, desenvolveu um sistema autônomo de vigilância em alta resolução e em tempo real chamado ARGUS-IS.

O projeto todo custou U$18,5 milhões e demorou 30 meses para ficar pronto. Mas a maior novidade é sua supercâmera, que ainda não foi exibida para os civis, e possui a altíssima resolução de 1,8 gigapixel, produzindo em torno de 1 exabyte (1 milhão de terabytes) em imagens por dia.

Em uma aeronave há 6 quilômetros de altitude, o ARGUS pode cobrir uma área de até 40 km2, podendo suas câmeras distinguir objetos com o tamanho de até 9 cm2. Com essa capacidade absurda de ampliação, o sistema consegue identificar nitidamente elementos móveis, melhorando a precisão em missões de reconhecimento ou de ataque a zonas hostis.

Como grande parte das tecnologias atuais é produto direto de experimentos e equipamentos que antes foram de uso exclusivo dos militares, é possível prever um forte aquecimento do mercado da fotografia, quando essa tecnologia for disponibilizada aos civis.

Confira o vídeo do projeto abaixo: 

(habilite a legenda para português no YouTube)

Criar Senha escrevendo errado pode ser uma segurança maior diz Estudos

Estudo publicado pela Universidade de Carnegie Mellon e pelo MIT mostra que senhas sem sentido aparente são mais difíceis de serem quebradas

Você está melhor protegido esquecendo suas lições de gramática quando o assunto é criação de senhas, de acordo com uma pesquisa feita pela Universidade de Carnegie Mellon e pelo MIT (Instituto de Tecnologia de Massachusetts).

Os pesquisadores dizem que o uso de gramática - boa ou má - pode dar pistas a crackers sobre as palavras em uma senha composta por multiplas palavras. E eles construíram um algoritmo como uma prova de conceito para demonstrar essa descoberta.

A equipe, liderada pelo estudante Ph.D em software de engenharia Ashwini Rao do Instituto CMU de Pesquisa de Software, irá apresentar seu estudo na conferência de dados e aplicações de segurança e privacidade Association for Computing Machinery, que acontecerá em 20 de fevereiro, em San Antonio.

O time testou o seu algoritmo de cracking (programado para reconhecer gramática) em 1434 senhas que continham 16 ou mais caracteres, e decifrou apenas 10% do conjunto de dados com o algoritmo. "Nós não devemos confiar cegamente no número de palavras ou caracteres em uma senha como medida de segurança", afirmou Rao, em um comunicado.

Os pesquisadores disseram que, embora uma senha baseada em uma frase ou uma sentença curta possa ser mais fácil para um usuário lembrar, ela também é fácil de ser decifrada.

Afinal, as regras gramaticais limitam a escolha de palavras e estruturas. Ou seja, uma frase com pronome-verbo-adjetivo-substantivo seria mais fácil de ser quebrada do que uma composta por substantivo-verbo-adjetivo.

Os pesquisadores descobriram que "martelado requisitos asinino", por exemplo, é mais difícil de quebrar do que até mesmo o mais longo e aparentemente inteligente "$0 pode h4v3r um #1!"

Fonte: IDGNow

Google pode criar nova operadora de telefonia móvel

O Google está criando uma rede sem fio experimental que vai cobrir toda a sua sede, em Mountain View, California, nos Estados Unidos. A informação é do Wall Street Journal, que ainda afirma que a decisão pode prenunciar a criação de um serviço de redes sem fio super-rápidas e densas administrada pela gigante das buscas.

A notícia certamente mexe com o mercado de telecomunicações, mas não há motivos para pensar que em breve você poderá estar conectando seu celular à rede do Google. O próprio Wall Street Journal lembra que segundo documentos enviados pelo Google à Comissão Federal de Comunicações dos EUA, a rede não é acessível a praticamente nenhum aparelho disponível no mercado atualmente. Além, o projeto ainda está em fase de experimento e não deve sair dos limites da sede da empresa tão cedo.

A rede do Google opera via rádio em faixa limitada entre 2.524 e 2.625 MHz, em um raio de 2 km. No entanto, a tecnologia poderia até funcionar em outros lugares, como no Japão, na China a até mesmo no Brasil, já que estes países têm operadoras que estão construindo redes sem fios usando as mesmas frequências - o que pressupõe a chegada de aparelhos compatíveis para breve.

Um porta-voz do Google declarou que a rede é para uso experimental e está sendo construída para testes e desenvolvimento de “coisas novas”. Porém, especula-se que a tecnologia seria usada para prover acesso sem fio a clientes como parte de serviços e produtos, como a banda larga de alta velocidade Google Fiber.

Campus Party 2013: O maior evento tecnológico no Brasil

Descrição

A Campus Party 2013 acontece mais uma vez em São Paulo. A sexta edição será realizada no Anhembi Parque, entre os dias 28 de janeiro a 3 de fevereiro de 2013 e reúne os principais temas e personagens da Internet brasileira. Os portões serão abertos para os participantes a partir das 12h do dia 28/01/2013. A entrada para a #cpbr6 poderá ser adquirida por R$ 300,00, até se esgotarem os ingressos.

Esse ano as vagas aumentaram: vão ser 8mil vagas para os campuseiros e 5mil barracas pra galera que quiser acampar. Neste ano, a programação conta com mais de 500 horas de atividades, palestras e debates.

As áreas desta edição estão divididas em:

• Galileu (Astronomia, Hardware, Modding, Eletrônica, Robótica, Biotecnologia, (Nanotecnologia e GreenTech)
• Michelangelo (Design, Fotografia, Vídeo e Música)
• Gutenberg (Mídias Sociais e Blog)
• Pitágoras (Desenvolvimento)
• Sócrates (Software Livre e Sistemas operacionais)
• Arquimedes (Segurança, Redes e Hack)
• Hypatia (Empreendedorismo)
• Stadium (Games e Simulação)

Para mais informações sobre a programação do evento, palestras e debates, visite o site oficial do evento www.campus-party.com.br.