Microsoft varnar för DLL sårbarhet i applikationer

[Opptokoppter]

HOWDY!

Nästan som Repmånad i datorn.

[Cecilia]

men jag läste att "HitmanPro" hittar ifall datorn har blivit infekterad, så det är ingen fara=) bara man scanar datorn en gång per vecka med HitmanPro det är det enda programmet som hittar denna infektion för tillfälligt.

DLL-sårbarhet är ingen infektion, det är en väg in för ett skadligt program. Om Hitman Pro kan ta bort en infektion beror ju på vilken infektion som man får in i datorn på detta sätt. Om man får in ett skadligt program i datorn så är det ju dumt att t ex ha något som stjäl lösenord i datorn i en vecka.

[Nilsson]

DLL-sårbarhet är ingen infektion, det är en väg in för ett skadligt program. Om Hitman Pro kan ta bort en infektion beror ju på vilken infektion som man får in i datorn på detta sätt. Om man får in ett skadligt program i datorn så är det ju dumt att t ex ha något som stjäl lösenord i datorn i en vecka.

ja ja ok, men kolla vad det står här då >>

For an attack to be successful, a user must visit an untrusted remote file system location or WebDAV share and open a document from this location that is then loaded by a vulnerable application.

The file sharing protocol SMB is often disabled on the perimeter firewall. This limits the possible attack vectors for this vulnerability.

Redigerad Augusti 30, 2010 av Nilsson

[Cecilia]

Ja, och vad ville du säga med det citatet?

Att det är bra att ha en brandvägg som stoppar SMB-protokollet?

[essob]

Finns ett DLLHijackAuditKit som skall förenkla det hela... fast jag kom bara halvvägs när jag provade i morse. Första delen funkade smärtfritt men själva analysen ville inte alls.

Tänkte testa DLLHijackAuditKit.

Mitt AV protesterar hejvilt när jag öppnar . Antagligen FP i stor omfattning....

http://www.virustotal.com/file-scan/report.html?id=52080439448dfe3a2266c8a0db18cdd33e85eb73550770788e2bfa2a0d3c730e-1283249337

[e-son]

mjoo... ett utmärkt tillfälle att kolla vilka antivirusföretag som inte använder skrämseltaktiken "False Positive" som ett led i att rättfärdiga sina produkter.

Det gäller ju att få folk att tro att man verkligen är i behov av just deras program... särskilt dom "stora" betalprogrammen.

Redigerad Augusti 31, 2010 av e-son

[Cecilia]

Jag tycker det verkar rätt sunt att antivirusprogram reagerar på program som t ex "automatically kill spawned processes" tills de har fått in programmet i sina vitlistor. Därför bör man ju rapportera nedladdningsfilen som falsklarm till antivirusföretagen.

[Nilsson]

så router-brandväggen är helt meningslöt mot DLL sårbarhet, där hacker's kan hur lätt som helst gå in i ens dator genom att lura DLL applikationer ?

[Lasse B]

Fråga.

Såg på PC För Alla att Microsoft i går Tisdagen 31/9 släppte ett nytt verktyg för dll-buggen.

Men jag upplever som en vanlig andvändare att det verkar komplicerat att lägga in det verktyget.

Är risken stor för normalandvändare att bli drabbad av dll-buggen.

Finns det någon eventuell enkel beskrivning hur man som novis/normalandvändare kan lägga till verktyget, eller skall man skippa det.

Lasse B

Redigerad September 1, 2010 av Lasse B

[Cecilia]

Jag tror att man kan säga att det inte är större risk för att drabbas av det här problemet som hemanvändare än det är att drabbas av andra typer av skadliga program. Det är bara en möjlighet bland många för ett skadligt program att ställa till problem.

[Lasse B]

Vi hoppas på det,och att det sedan kommer en eventuellt lösning på problemet.

Ha en bra dag

Lasse B

[Cecilia]

Tack detsamma!

Det har ju kommit ut många nya programversioner nu där man har rättat till koden som framgår av några inlägg högre upp, så håll koll på uppdateringar av dina program.

[Raven_Crystal]

Alltså jag laddade hem verktyget Microsoft släppt,(både verktyg och beskrivning är från: http://support.microsoft.com/kb/2264107).

Exempel

Exempel 1: Inaktivera inläsning av DLL:er från en WebDAV-resurs för alla program på din lokala dator

1. Logga in på datorn som administratör.

2. Öppna Registereditorn.

3. Leta upp och klicka på följande registerundernyckel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager

4. Högerklicka på Sessionshanteraren, peka på Nytt och klicka påDword-värde.

5. Skriv CWDIllegalInDllSearch, och klicka på Ändra.

6. I rutan Värdedata skriver du 1 och klickar sedan på OK.

Denna lösning? hittade jag i en artikel på IDG.

Redigerad September 1, 2010 av Rim_Frost

[Nilsson]

alltså vi säger att någon lyckats gå in i min dator och utnyttjat DLL filer i min dator,

kan jag se då personen flytta på musen i fönstret och kan jag se han försöka ändra program?

och ifall jag kan se då om jag stänger av datorn och sätter på efter 10 min då är han/hon borta väl ?

[Cecilia]

Det är väl inte så sannolikt att någon går in i datorn på det sättet. Det handlar ju mera om få igång skadliga program i datorn som skickar spam eller visar annonser etc som vanligt.

Det är inte fråga om att utnyttja en vanlig DLL-fil i datorn utan det handlar om att få ett vanligt program i datorn att köra en skadlig DLL-fil i stället för den normala friska DLL-filen. De nya programversioner som kommer ut är ändrade så att detta inte ska hända så lätt.

[Ansu]

"Verktyget" är inget annat än ett registertillägg. Det går att applicera på specificerad applikation men då krävs det att man vet exakt vilka program som innehåller sårbarheten. För gemene man gäller nog en allmän blockering av dll-inläsning från WebDAV/fjärrkatalog, vilket vid behov kan göras med nedanstående registerfil.

Tips från coachen:

Kör DisableWebDAVLoadLibrary.reg och starta om datorn, om du känner dig orolig inför den här sårbarheten.

Får du problem med att starta/använda något av dina program tar du bort registertillägget igen, med EnableWebDAVLoadLibrary.reg.

DisableWebDAVLoadLibrary.reg

EnableWebDAVLoadLibrary.reg

Edit:

Kan väl tillägga att jag inte är särskilt orolig för denna sårbarhet, men har ändå applicerat denna "workaround"... för att se om den ställer till några oväntade problem...!

Tackar så mycket om reg-filerna.

Ansu

[Nilsson]

så om jag använder denna fil: DisableWebDAVLoadLibrary.reg är jag säker då och inte behöver uppdatera alla program?

och DisableWebDAVLoadLibrary.reg lades till i Temporary files stod det, men om jag använder Ccleaner försvinner filen: DisableWebDAVLoadLibrary.reg i Temporary-Files då?

Redigerad September 1, 2010 av Nilsson

[essob]

DLL hole now affects EXE files

It turns out that the DLL vulnerability (Binary Planting) under Windows was only the tip of the iceberg. DLL libraries aren't the only things that are seem to be vulnerable; EXE files also appear to be affected and the DLL workarounds proposed by Microsoft do not help.

http://www.h-online.com/security/news/item/DLL-hole-now-affects-EXE-files-1076847.html

Den senaste bristen i Windows, osäker laddning av DLL-filer, verkar inte vara den enda i Windows vad gäller laddning av binärfiler. Företaget Acros Security som ursprungligen rapporterade om DLL-problemet beskriver även brister i hanteringen av EXE-filer i Windows. Tydligen så använder inte Windows samma sökordning ("safe search order") när det gäller EXE-filer. Detta kan leda till att en skadlig binär laddas i stället för den tänkta i fall att den förekommer tidigare i sökordningen för EXE-filer.

http://www.sitic.se/publikationer/namnvart/fenomenet-binary-planting-i-windows-tar-sig-nya-skepnader

Redigerad September 13, 2010 av essob