Nova falha de segurança afeta Facebook, Google e Microsoft

Nova falha de segurança afeta Facebook, Google e Microsoft

A web ainda se recupera do Heartbleed, uma das maiores falhas de segurança já registradas, com um bug no OpenSSL. No entanto, outra brecha foi encontrada em outras ferramentas de login extremamente difundidas: o OAuth e o OpenID, usados por gigantes como Facebook, Microsoft e Google.

O bug foi encontrado por Wang Jing, estudante de doutorado da Nanyang Technological University, em Cingapura. A vulnerabilidade, chamada de “Covert Redirect”, permite o disfarce da ameaça como um popup de login baseado no site afetado. Abaixo está a lista com os principais sites afetados.


Um exemplo dado pela CNET: um link malicioso de phishing pode gerar uma janela de popup do Facebook, pedindo autorização para um aplicativo. Assim, não é necessário nem mesmo usar um domínio falso para enganar a vítima; é possível usar o site real para autenticação.

Assim que o usuário autoriza o login, suas informações pessoais são enviadas diretamente para o cibercriminoso, em vez do site legítimo. Isso inclui endereços, data de nascimento, listas de contatos e, possivelmente, controle total da conta.

A dica para evitar problemas é a mesma de sempre: evitar clicar em links suspeitos que pedem a realização de um login imediato do Google ou Facebook. Caso o usuário acabe clicando no link, mas não fizer o login, seus dados devem permanecer seguros.

http://www.cnet.com/news/serious-security-flaw-in-oauth-and-openid-discovered/

 

Sempre sigo a dica de digitar os sites que quero entrar na barra de endereços. Nada de clicar em links que me levem onde pretendo ir. Também não faço login de nenhum site onde esteja cadastrado fora de meu PC. Em PCs alheios só pesquisas no Google ou outras.

Só está me faltando seguir a dica do Boss de trocar as senhas. Há anos que utilizo as mesmas senhas.

Seguindo essas dicas ai, até hoje, mesmo usando o IE, nunca foi instalado nada sem minha permissão. Minha página inicial do navegador nunca moudou sozinha, nunca foram instalados complementos ou barras de pesquisas enchedoras de saco em meu navegador como bing, ask, yahoo, etc.

Senhas e formulários também nunca são salvos ou preenchidos automaticamente. Após cada utilização qualquer armazenamento é excluído do computador.

Boss,
Aproveitando o assunto "segurança" e sem querer me aproveitar da sua nobreza, existe algum antispyware gratuito com proteção em tempo real que você possa indicar?
Apesar de possuir antivírus (KIS e MSE), meu irmão usa o sistema dele W7 indiscriminadamente. Quando entro para ver, está cheio de barras de ferramentas, complementos etc. considerados maliciosos pelo Malwarebytes Atni-Malware.
Ele não entende muito dessas coisas e sai clicando em tudo que é lugar ou recado que supostamente chega via e-mail ou via Java script (acho que é assim que se chama).
Teria que ser um com proteção em tempo real que não dependesse da permissão do usuário para bloquear as pragas, já que ele é totalmente leigo e provavelmente permitiria tudo.
Da última vez tinha tantos espiões que eles redirecionavam todas as páginas, até bloquearam as conexões de rede, etc. Excluí-os via Malwarebytes e os restos desses arquivos e diretórios na unha mesmo.
Não demorou muitos dias e ele já os havia instalado tudo de novo com outros mais.  

Caso não possa indicar aqui devido às regras, então MP.

Obrigado.

^ Moshe, sou da opinião que meia-hora de papo ajuda mais que qualquer software desses...

Se quer um programa, arrume um daqueles que fazem backup (tipo clone). Instale do zero e faça o backup. Quando houver um ataque é só restaurar o sistema rapidamente. Esse perfil de usuário estará sempre sujeito a ataques, independentemente do software de proteção. Experiência própria com meus amigos...

^Joabi,
Sobre meia-hora de papo, pode até funcionar para amigos. Para irmão não vai. Vai dar é muita briga, discussão, confusão. Difícil mesmo. O ideal para ele seriam os sistemas com códigos abertos, ditos Linux. Mas ele não usaria.

Sobre programas de backup indicaria algum? É fácil de utilizar? Pesquisarei se é viável e se acho algum.
Ele tem a faculdade e vários arquivos tipo pdf, docx, etc. nas pastas "Download" e "Documentos" que compõem a maioria do espaço em HD. Ai de mim se um arquivo desses sumir...

Outra coisa, fazer backup de Windows 7 zerado e depois ter que instalar aquele monte de atualizações novamente é estafante. Nossa internet é de 1Mega (100kbps na realidade) e demoraria dias. E só de pensar em ter que fazer isto toda vez que ele ferrar o sistema operacional dá até desânimo.

Thanks.

Moshe Bar Elohim escreveu:Boss, (...)

Moshe,

- Você está falando de um outro computador, que não é o seu, certo?
- Qual é o perfil de utilização do computador do seu irmão?
- O que tem instalado no computador que ele usa?
- Alguém mais usa? compartilha o computador com ele?

Boss,

- Você está falando de outro computador, que não é o seu, certo?
Fisicamente é o mesmo computador mas um sistema nada tem a ver com outro. Meu sistema W7 está num HD e o dele em outro HD. Não fazem boot pela mesma MBR. Ocultei toda e qualquer unidade de disco no dele para que seu sistema não "enxergue" nem infecte outras unidades de disco. O sistema dele só enxerga a unidade dele "C:/" e o Blu Ray "D:/". O "chaveamento" de qual sistema quero que "suba" é feito pelo setup da BIOS. Quando termino de utilizar altero na BIOS para que o HD dele faça o boot pelo seu HD sem acessar o meu. Isto ajudou bastente no sentido que também evitou o gerenciamento de boot na inicialização de ambos sistemas.

- Qual é o perfil de utilização do computador do seu irmão?
Perfil de usuário doméstico sem noção . Ele está como administrador mas, mesmo deixando-o como usuário, devido a experiências anteriores, sei que ele ferra todo o sistema mesmo assim. Vai clicando e instalando coisas que nem sabe o que são.

- O que tem instalado no computador que ele usa?
Hardware: impressora HP, Blu Ray, painel leitor de multi cartões e USB 3.0. Software: Google Chrome (o IE ele já ferrou todinho), Pacote Office.

- Alguém mais usa? Compartilha o computador com ele?
Sistema operacional, arquivos e diretórios não. Não são compartilhados. A parte física compartilhamos do mesmo PC desktop mas isolamente como citei antes.

Só estou a perguntando pois quero ajudá-lo. A mim nada incomoda nem afeta meu sistema. Também não adianta conversar com ele onde deve ou não clicar ou como usar a internet. É perda de tempo. Também pensei em utilizar alguns recursos das políticas de grupo do GPEDIT mas não vi nada que evitasse esse mal uso dele.

Obrigado pela atenção.

Moshe Bar Elohim escreveu:
Sobre programas de backup indicaria algum? É fácil de utilizar? Pesquisarei se é viável e se acho algum.
Ele tem a faculdade e vários arquivos tipo pdf, docx, etc. nas pastas "Download" e "Documentos" que compõem a maioria do espaço em HD. Ai de mim se um arquivo desses sumir...

Outra coisa, fazer backup de Windows 7 zerado e depois ter que instalar aquele monte de atualizações novamente é estafante. Nossa internet é de 1Mega (100kbps na realidade) e demoraria dias. E só de pensar em ter que fazer isto toda vez que ele ferrar o sistema operacional dá até desânimo.

Na minha época de Windows eu usava o Paragon. Era ótimo! Me salvou muito tempo!

https://www.paragon-software.com/home/


Meu procedimento sempre foi ter 2 partições, uma para Sistema e outra para Dados pessoais. Instalava o sistema, atualizações, drivers, programas, etc... e fazia o backup. Esse backup é uma "imagem" daquele estado do computador. Deu pau é só restaurar... levava 15 minutos pra voltar para aquele exato ponto. Nada de internet, baixar atualizacões, etc... só o que tivesse sido instalado depois da imagem ter sido feita.

Eu também atualizava essa imagem frequentemente, refletindo minhas mudanças. Usava a partição 2 para guardar a imagem e me lembro que tinha um CD de inicialização do Paragon, que pedia pelo caminho da imagem durante a restauração.

Backup de dados pessoais é outra coisa... isso funciona bem para o sistema, mas nada impede que se use para os dados pessoais também.

Ainda não estou satisfeito com o perfil ...

- Existem gerenciadores de boot com senha. Isso evitar entrar na BIOS para alterar sempre ...

- Qualquer usuário sem noção, não pode ser administrador, NUNCA! entendeu?  Se você colocou ele como usuário padrão, esqueceu do grupo padrão. Ele não pode instalar nada assim. Se ele usa o que já está instalado, então tem algo errado na configuração.

- O GPEdit ajuda sim. Há várias diretivas que podem ser úteis. O que é necessário é fazer o perfil de usuário dele, sem isso, não adianta pensar nessas políticas. Tem que ter esse trabalho ou seja, tem que saber como ele usa o computador: Acesso a internet, edição de textos, joguinhos (instalados ou online), etc e etc ...

- Linux como alternativa para usuários Windows (vale a tentativa) e não precisa dizer que é Linux, instala e dá pra ele usar:
http://blog.malwarebytes.org/online-security/2014/04/a-penguin-in-xps-clothing/

- Um tablet com Android, pode ser um bom aprendizado também ...

Bom, vamos continuando a conversa ...

Joabi,
Verei a viabilidade de se e como fazer backup de HD e SO. :/ Lembro-me antigamente do Acronis que, na época, já cogitava esta possibilidade de um backup geral. Servirá como um adicional a mais quando conseguir fazer o bloqueio das presepadas que meu irmão faz.

Muito obrigado pelas dicas.


Boss,

Não me importo em gerenciar o boot pela BIOS, mesmo que ás vezes se torne uma coisa chata. Ás vezes.

Sobre o Linux 007, baixarei e estudarei como funciona etc. para ver como "enganar" meu irmão. Mas é uma coisa que ficaria mais para segundo plano.
Estou mais propenso a aprofundar-me sobre alterar sua conta de Administrador do próprio sistema para Usuário padrão e sobre as configurações desse grupo padrão. Sobre o GPEdit teria que estudar melhor suas diretrizes para desabilitar algumas configurações. Parece ser a solução mais barata, de impacto imediato, sem alterações em tudo que já está instalado e sem o seu consentimento.
Creio que ele só estranhará a tela de inicial de login do seu sistema.

Obrigado pela consultoria.   

Me disseram que só os nerds ficam sexta e sábado à noite na frente de um computador. Desculpa se fui um incômodo.

Fica à vontade Moshe, não ligo pra isso não.

Qualquer coisa, pergunta aí, e vamos acompanhar essa batalha.

joabi escreveu:
^ Moshe, sou da opinião que meia-hora de papo ajuda mais que qualquer software desses...

Moshe Bar Elohim escreveu:...Sobre meia-hora de papo, pode até funcionar para amigos. Para irmão não vai. Vai dar é muita briga, discussão, confusão...

nem umas palmadinhas resolveriam?   

antigamente, eu usava o norton ghost, p/ fazer uma imagem geral do meu pc.

off-topic: boss, qual é o melhor antispyware disponível, na sua opinião? o malwarebytes? tenho usado o spybot, q, com o tempo, foi perdendo eficácia. :/

fheliojr escreveu:off-topic: boss, qual é o melhor antispyware disponível, na sua opinião?

Ë importante lembrar, que as versões gratuitas, na maioria das vezes, são bons em detectar malwares já instalados. Uma proteção mais eficiente, só na versão paga.

Essa coisa de melhor, é subjetivo como quase tudo nessa área. Há novas formas de detecção assim como há novas formas de burlar essa detecção. Então, são softwares com eficiência sazonal e alguns com certa regularidade também, por períodos maiores.  Aqui, uma lista de alguns que tem se mantido mais eficientes na atualidade ... Eu não sei qual foi o seu problema com o Spybot, mas comigo ele sempre fez o trabalho direitinho,

Super Antispyware;
Malwarebyes;
Microsoft Security Essentials (não é o Windows Defender);
Spybot: Search & Destroy;
Ad-Aware Free;
HiJackThis (ferramenta de auxílio pra remoção).

fheliojr escreveu:

Moshe Bar Elohim escreveu:...Sobre meia-hora de papo, pode até funcionar para amigos. Para irmão não vai. Vai dar é muita briga, discussão, confusão...

nem umas palmadinhas resolveriam? :/

Já discutimos seriamente uma vez sobre estas coisas e as agreções verbais não foram economizadas. Ânimos exaltados. Não fosse a intervensão da minha mãe... não sei onde pararia.
Por mim ele que se encha de virus, pragas, etc. e que se lasque. O sistema é dele mesmo; nem me afeta. Acontece que além de ficar com dó de ver ele tentando pagar livros etc. com cartão de crédito em sites, gosto de me atualizar e aprender com essas coisas. Aprendo a configurar melhor o Windows, a remover pragas difíceis, entre outras.

--------------------------

Já coloquei o meu irmão como Usuário padrão. Criei uma conta Adm para eu usar (se bem que nem uso seu sistema). Já estavam instalados o Malwarebytes e o SAS.

Adicionei o IObit Malware Fighter. Mesmo não sendo lá estas coisas ele achou umas coisinhas que os dois anteriores deixaram passar, nada demais. O bom deste é que, além de ser gratuito e leve, tem a proteção em tempo real parcial, não total. Já é alguma coisa. E também tem a configuração de excluir ameaças automaticamente sem a intervenção do usuário. Ele fica lá no cantinho dele sem incomodar. Já havia utilizado antes anos atrás; tinha até me esquecido dele.


Após a exclusão de tudo que é praga com os três, limpeza de registro e pastas vazias o Windows dele está demorando uns 5 minutos para desligar. Aparece a tela "Encerrando" e dá vontade de fazer um dedoff. Também não dá mais para voltar atrás com restauração do sistema pois não há mais datas para voltar.

Utilizei o Spybot: Search & Destroy por longos e bons anos mas nunca detectava nada. Até que um dia decidi testar o SAS e achou um montão de coisas. A partir daí o Spybot sempre ficou fora de minha lista de preferências.

Moshe,

- Ë W7?

- Verificou em quais grupos a conta dele está? Execute o lusrmgr.msc

- Não instale muitos *ware, dois já degradam bastante o sistema. Muita coisa já vai ser bloqueada por não poder se inserir no registro e nem na inicialização.

- Recomendo que, neste momento, apesar do trabalho, faça uma re-instalação fresh do sistema, inclusive retirando muita coisa, que ele não usa do Windows. Na verdade, pra esses casos, eu instalo o Windows 7 Home Basic, pra crianças o Starter. Se a pessoa, realmente me convence que não é topeira, eu instalo o Home Premium, que equivaleria ao XP Home.

Obs: Não sei o que houve com voces, mas o Spybot sempre funcionou pra mim ...

É W7 Ultimate. Antes era HP. Atualizei via Windows Anytime Upgrade só por causa do GPEdit.

Do monte de itens do lusrmgr, ele é membro só do Grupo "Usuários".

Os *ware.* estão totalmente fechado-desligados, com exceção do IOBit. Só abro de vez em quando para atualizar a base de dados e passar uma procura em modo de segurança.

Não sei o que é "re-instalação fresh do sistema". Os programas que ele mais usa são o Word, Excel, Power Point, Bloco de notas, Media Player, Adobe Acrobat Reader. É o que tem também. Nem há mais programas instalados. O que eu tiraria do SO?

Boss2K escreveu:Ad-Aware Free

Fala sério, Boss...

Já faz alguns anos que o Adware se tornou ele próprio um malware dos mais terríveis.

Moshe Bar Elohim escreveu:(...)

- Eu não abriria mão de versão Home Basic. É um balanço entre segurança e conveniência.

- Instalação fresh é uma nova instalação, tudo do zero. Você poderia optar por uma instalação customizada (arrancado programas do Windows que não vai usar) ou instalar a versão Home Basic.

- Eu recomendo a instalação do Home Basic, em seguida os programas que ele usa (que você listou) e depois crie uma imagem em DVD dessa instalação. Assim, toda vez que precisar, é só usar esse DVD, pra reinstalar tudo de uma vez.'

allexcosta escreveu:Já faz alguns anos que o Adware se tornou ele próprio um malware dos mais terríveis.

Há quantos anos você não instala uma versão nova dele?

Até parece que quando o seu time perde uma partida ou um campeonato, você deixa de torcer por ele ...   

Boss2K escreveu:Há quantos anos você não instala uma versão nova dele?

Há uns 7 anos, mas meu filho, desavisado sobre a questão, instalou uma nova faz uns 4 meses e o laptop dele se encheu de várias mazelas incrivelmente nocivas.

Boss2K escreveu:- Eu não abriria mão de versão Home Basic. É um balanço entre segurança e conveniência.

- Instalação fresh é uma nova instalação, tudo do zero. Você poderia optar por uma instalação customizada (arrancado programas do Windows que não vai usar) ou instalar a versão Home Basic.

- Eu recomendo a instalação do Home Basic, em seguida os programas que ele usa (que você listou) e depois crie uma imagem em DVD dessa instalação. Assim, toda vez que precisar, é só usar esse DVD, pra reinstalar tudo de uma vez.' 

Instalar o W7 Home Basic perderá o Aero mas tudo bem, acho que ele não incomodar-se-á só por causa disto. Posso fazer isto do zero novamente sem problemas. Faço o Backup de seus documentos pessoais antes. Agora, que programas do Windows nessa versão Home Basic eu arrancaria? Já não tem quase nada mesmo. Seria via Painel de Controle > Desinstalar um programa > Ativar ou desativar recursos do Windows??? Tipo quais? Como?

Como eu criaria a imagem dessa nova instalação? Antigamente já fiz uns experimentos com o Acronis (como disse antes) e quando passei a imagem para a o HD, na hora de iniciar o sistema, dava um monte de erros e desisti dessas coisas. Com imagens ISO sei mexer apenas com o VirtualBox, compactar e descompactar via WinRar.

allexcosta escreveu:

Boss2K escreveu:Há quantos anos você não instala uma versão nova dele?

Há uns 7 anos, mas meu filho, desavisado sobre a questão, instalou uma nova faz uns 4 meses e o laptop dele se encheu de várias mazelas incrivelmente nocivas.

Esses programas tipo Free, mesmo sendo legais, vem com instaladores adicinais que mudam a página inicial, instalam barras de atalhos nos navegadores, etc. Meu irmão utiliza mais ou menos assim. Mas existe a opção de ignorá-los, geralmente fica na instalação personalizada, geralmente vem em inglês e fica num cantinho. Junto da instalação do programa principal eles também mandam uma tela pedindo para prosseguir. As pessoas pensam que se trata do processo de instalação do programa principal e clicam em prosseguir. Bem lá no cantinho tem a opção Skip; não interromperá a instalação do programa principal. A maioria dos PCs que visito tem essa tralhas instaladas. Os usuários comuns não fazem a menor idéia de como foram instalados.

Moshe Bar Elohim escreveu:Instalar o W7 Home Basic perderá o Aero (...)

Grande coisa o Aero né? Comedor de recursos .. mas

<iframe width="640" height="360" src="https://www.youtube.com/embed/85W1rAjVaKc?vq=hd1080" frameborder="0" allowfullscreen></iframe>

Moshe Bar Elohim escreveu:(...) Agora, que programas do Windows nessa versão Home Basic eu arrancaria?(...)

Acho que você não entendeu, eu disse uma coisa OU outra. Instalação personalizada ou Home Basic.

Sobre instalações personalizadas, por exemplo, você pode usar:

- vLite
http://www.vlite.net/

- RTSe7enLite
http://www.rt7lite.com/

Você pode escolher quais componentes do Windows quer instalar. Num passado recente, o pessoal fazia umas versões pro XP muito boas. Era o Retestrak XP, deixavam o Windows pelado, bem leve e você poderia escolher uma centena de outras aplicações para intalar. Uma mão na roda. Você ainda encontra nos torrents por aí ... e já tinha pro 7 também ...

Moshe Bar Elohim escreveu:Como eu criaria a imagem dessa nova instalação? (...)

Use o Acronis (Bootable Rescue Media Builder), é a ferramenta que eu uso e recomendo. O Windows 7 já conta com uma ferramenta pra isso, que faz a mesma coisa ...

Moshe Bar Elohim escreveu:Esses programas tipo Free, mesmo sendo legais, vem com instaladores adicinais que mudam a página inicial, instalam barras de atalhos nos navegadores, etc. Meu irmão utiliza mais ou menos assim. Mas existe a opção de ignorá-los, geralmente fica na instalação personalizada, geralmente vem em inglês e fica num cantinho. Junto da instalação do programa principal eles também mandam uma tela pedindo para prosseguir. As pessoas pensam que se trata do processo de instalação do programa principal e clicam em prosseguir. Bem lá no cantinho tem a opção Skip; não interromperá a instalação do programa principal. A maioria dos PCs que visito tem essa tralhas instaladas. Os usuários comuns não fazem a menor idéia de como foram instalados.

Se a pessoa não sabe sequer instalar um programa sem instalar o monte de tralha que vem grudado nele, não deveria sequer sentar na frente de um PC.

Os cânceres associados ao Adware não são toolbars e esse tipo de lixo, são programas malware, trackers e coisas assim. E não há opção de SKIP.

Allex,

Só por desencargo .. você não tá confundindo o Ad-Aware com o Adware?

O segundo é que não presta, pra mim ..

Valeu Boss. Obrigado mais uma vez.
Tem muita informação aqui.
Até dá vontade de mandar imprimir este tópico.  Acho que já são suficientes para o que estou precisando no momento.
Desculpa qualquer coisa, se estorvei. De repente alguém também está passando pelo mesmo problema - ou parecido - e pode ser útil.

Bem, quanto ficou $$? 

allexcosta escreveu:

Moshe Bar Elohim escreveu:Esses programas tipo Free, mesmo sendo legais, vem com instaladores adicinais que mudam a página inicial, instalam barras de atalhos nos navegadores, etc. Meu irmão utiliza mais ou menos assim. Mas existe a opção de ignorá-los, geralmente fica na instalação personalizada, geralmente vem em inglês e fica num cantinho. Junto da instalação do programa principal eles também mandam uma tela pedindo para prosseguir. As pessoas pensam que se trata do processo de instalação do programa principal e clicam em prosseguir. Bem lá no cantinho tem a opção Skip; não interromperá a instalação do programa principal. A maioria dos PCs que visito tem essa tralhas instaladas. Os usuários comuns não fazem a menor idéia de como foram instalados.

Se a pessoa não sabe sequer instalar um programa sem instalar o monte de tralha que vem grudado nele, não deveria sequer sentar na frente de um PC.

Os cânceres associados ao Adware não são toolbars e esse tipo de lixo, são programas malware, trackers e coisas assim. E não há opção de SKIP.

Eu disse que meu irmão é sem noção. Eu disse.   

É só trocar as senhas que resolve, ou tem mais algum procedimento a ser feito, Boss?

Edu Fettermann escreveu:É só trocar as senhas que resolve, ou tem mais algum procedimento a ser feito, Boss?

A dica para não cair no novo golpe: Não clicar em links que pedem autenticação em sites como Google e Facebook, por exemplo. É melhor fechar a janela imediatamente antes de inserir qualquer dado – e, assim, prevenir ataques de redirecionamento.

o Fórum tem um botão que pede pra você se autenticar no fórum, usando o Facebook. São botões ou links como esses que devem ser evitados em sites que você não conhece. O FCBR/Forumeiros está livre desse ataque.

Boss2K escreveu:...Essa coisa de melhor, é subjetivo como quase tudo nessa área...

bacana, boss. eu pensava q estes critérios, qnt à tecnologia, eram objetivos, ao contrário dos de equipamentos musicais (o velho "qual baixo é o melhor?", por exemplo).

Boss2K escreveu:...Eu não sei qual foi o seu problema com o Spybot, mas comigo ele sempre fez o trabalho direitinho...

o problema q tenho com ele é q não há uma real remoção de eventuais ameaças. se eu rodá-lo várias vezes seguidas, por exemplo, ele indicará os mesmos problemas, mesmo eu os corrigindo, ao final de cada verificação.

valeu por toda esta ajuda, boss. já estou ficando é envergonhado de te perguntar tanta coisa.   

 

Moshe Bar Elohim escreveu:...Já discutimos seriamente uma vez sobre estas coisas e as agreções verbais não foram economizadas. Ânimos exaltados. Não fosse a intervensão da minha mãe... não sei onde pararia...

era brincadeira, sou contra violência, salvo em casos muito específicos e com moderação.

Boss2K escreveu:Só por desencargo .. você não tá confundindo o Ad-Aware com o Adware?

O segundo é que não presta, pra mim ..

Tô falando do Ad-Aware da Lavasoft. Era meu anti-spyware preferido até meados de 2006, quando ele migrou pra o lado negro da força.