Rattoppate Explorer 6 e 7 o passate all’8. In attesa del 9

Questo articolo vi arriva grazie alle gentili donazioni di “eleonora.maz*” e “kassandra*”.

Ennesima falla, ed ennesimo rattoppo, per Internet Explorer 6 e 7, programmi di navigazione che molti si ostinano a usare nonostante siano sostanzialmente obsoleti, tanto che Microsoft ha già rilasciato da tempo la versione 8 e già offre i primi assaggi della 9.

No, la falla non è quella che si attiva pigiando il tasto F1 descritta un paio di settimane fa: è un’altra. Questa è stata segnalata da Microsoft in un advisory (il 981374) il 9 marzo scorso, e come la precedente consente di prendere il controllo del computer della vittima se la vittima in questione naviga usando Internet Explorer versioni 6 o 7 e visita un sito-trappola oppure un sito normale nel quale è stato iniettato il codice che attiva la falla.

Microsoft dice che questa vulnerabilità viene già sfruttata dai criminali informatici per “attacchi mirati” e ha predisposto un rattoppo apposito che va eseguito manualmente (non fa parte degli aggiornamenti automatici di Windows). Ma si tratta di una correzione che può causare disagi, impedendo per esempio di stampare, secondo The Register. È sempre meglio che trovarsi infettati con un software ostile che ruba password e numeri di carte di credito, ma comunque scomodo.

Ma perché Microsoft continua a pubblicare rattoppi per versioni del suo browser così obsolete? La versione corrente è la 8, che compie un anno proprio oggi, e la 9 è in arrivo. Il fatto è che molti utenti non vogliono o non possono migrare a browser più moderni e sicuri perché hanno realizzato siti e software su misura (una volta si diceva “ottimizzati”) per IE6 o 7, invece di realizzarli in modo conforme ai veri standard della Rete, e adesso si trovano in un guaio e si aspettano che Microsoft li salvi. Non dicano che non erano stati avvisati.

E così, secondo i dati aggiornati a febbraio di NetMarketShare, il 34% degli utenti di Internet Explorer è ancora fermo alla versione 6 e il 22% è alla 7. Non è chiaro per quanto tempo ancora Microsoft continuerà a supportare pazientemente questi tiratardi. Il guaio è che l’uso di browser obsoleti e vulnerabili aiuta la diffusione di software ostile e quindi inquina Internet per tutti, non soltanto per chi non si aggiorna.

Intanto Microsoft ha annunciato la versione 9 di Internet Explorer, una cui anteprima molto grezza, orientata principalmente agli sviluppatori, è già disponibile per lo scaricamento: promette maggiore velocità nella visualizzazione delle pagine e nell’esecuzione di Javascript, che è essenziale per l’uso delle pagine Web dinamiche di oggi, come quelle di Facebook o Gmail; supporta l’HTML5, che permette di includere video nelle pagine Web senza ricorrere a Flash, mettendo quindi IE9 in pari con i browser della concorrenza; gestisce la grafica vettoriale (SVG); e offre maggiore compatibilità con gli standard di formattazione delle pagine Web tramite CSS3. Ma attenzione: Internet Explorer 9 funziona soltanto su Windows Vista e Windows 7. Secondo ZDNet, non è prevista una versione per Windows XP.

Governo tedesco: non usate Internet Explorer

I recenti attacchi informatici “altamente sofisticati e mirati” provenienti dalla Cina sono stati realizzati sfruttando una falla di Internet Explorer.

A metà dicembre 2009, questi attacchi hanno coinvolto Google allo scopo di accedere agli account di posta degli attivisti per i diritti umani dei cinesi, sia in Cina sia fuori dal paese, e hanno colpito anche almeno venti altre grandi aziende tecnologiche occidentali, fra cui Yahoo, Symantec, Adobe, Northrop Grumman e Dow Chemical, stando al Washington Post.

Anche se nessuna autorità lo dice apertamente, il sospetto che dietro gli attacchi ci siano informatici sponsorizzati e coordinati dal governo cinese è forte. L’intrusione è stata sufficientemente allarmante da spingere Google ad annunciare il possibile ritiro dalla Cina e la sospensione delle censure concordate con il governo del paese e da indurre il Dipartimento di Stato degli Stati Uniti a chiedere spiegazioni formali alle autorità cinesi.

Secondo la società di sicurezza informatica McAfee, che ha analizzato il software utilizzato per gli attacchi, una delle modalità di intrusione sfrutta una “vulnerabilità nuova e non nota pubblicamente di Microsoft Internet Explorer”. Gli attacchi si baserebbero su una tecnica classica, quella di indurre la vittima a cliccare su un link o ad aprire un file inviato via mail, per sfruttare la vulnerabilità di Explorer, aprendo una backdoor (un canale segreto di accesso) che permette all’intruso di esplorare in lungo e in largo il bersaglio e accedere ai dati riservati della società.

Sempre secondo McAfee, Internet Explorer è “vulnerabile su tutte le versioni più recenti dei sistemi operativi Microsoft, compreso Windows 7”, ma gli attacchi condotti utilizzando la vulnerabilità di IE sono stati concentrati su IE versione 6. Sophos, però, include anche le versioni 7 e 8 fra quelle vulnerabili.

Microsoft ha poi confermato la falla in tutte le versioni di IE dalla 6 alla 8 incluse ed ha fornito alcune istruzioni per attenuare il rischio, osservando che si tratta comunque di attacchi mirati a persone in posizioni di elevata responsabilità, non a utenti comuni. Ma il governo tedesco, tramite la BSI (Bundesamt für Sicherheit in der Informationstechnik, l’ufficio federale per la sicurezza informatica), consiglia a tutti gli utenti della Rete di usare temporaneamente un browser alternativo a Internet Explorer, punto e basta. Anche perché la tecnica per sfruttare questa vulnerabilità di IE non è più segreta.

Un bel pasticcio, che indica quanto i governi siano preoccupati dal pericolo dello spionaggio informatico, specialmente se (come si sospetta) è finanziato e incoraggiato da un altro governo. E’ vero che anche gli altri browser hanno vulnerabilità: ma l’onnipresenza di Internet Explorer ne fa un bersaglio più appetibile e facilita il lavoro degli aggressori. E’ la solita storia della monocultura. Se tutti coltivano patate, quando arriva un parassita che attacca le patate è un disastro. Se invece si coltiva anche qualche altra pianta commestibile, e non c’è qualcuno che fa sparire le altre fonti di cibo, il parassita non potrà causare altrettanta devastazione. Chiedetelo agli irlandesi.

Un aggiornamento a quest’articolo è pubblicato qui.