Artigos

O Ataque de Hacker de Javascript se acelera

Um Informe Especial sobre o Ataque de Hacker de Javascript

O modelo dinâmico de conteúdo aberto que agora é possível graças ao ambiente que a Web 2.0, abriu as portas ao Javascript malicioso. Javascript é uma linguagem interativa que utilizam os  navegadores da Internet para realizar operações programadas definidas pelas páginas Web. No ambiente Web 2.0, os autores de conteúdo de páginas Web e os criadores de navegadores ampliaram a série de características que o código Javascript pode utilizar para facilitar um conteúdo mais dinâmico e interações entre navegadores e serviços da Internet. Isto lhe oferece aos usuários uma ampla variedade de capacidades legítimas. Como um exemplo do poder deste meio, uma  menina de 15 anos chamada Lizzie Palmer desenvolveu um vídeo chamado "Remember  Me"  ( Me lembra ) no YouTube sobre a Guerra do Iraque, o  qual foi visto mais de 7 milhões de vezes este mês.

O Ataque de Hacker de Javascript se acelera

Javascript é uma linguagem cada vez mais comum na Internet, principalmente em sites que utilizem recursos da Web 2.0. Agora estes sites podem ser alvo de hackers, que criminosamente incluem códigos Javascript em páginas de sites legítimos, de maneira que qualquer usuário que visite este site seja infectado.

Javascript tem estado em uso (e explorado pelos autores do código malicioso) durante muito tempo. A razão do  aumento no ataque de hacker de Javascript é a proliferação de sites Web 2.0. No passado, os autores de páginas Web normalmente criavam e  publicavam conteúdo. Hoje, os blogs e outros Web sites dinâmicos permitem a qualquer um criar e publicar conteúdo. Já que esta função  requer o uso de uma linguaguem de programação como Javascript, a maioria dos  sites Web 2.0 permitem aos usuários colocar código Javascript.

Javascript Malicioso

O uso malicioso de Javascript neste ambiente mais aberto pode cobrir uma ampla gama de ameaças. Por exemplo, um autor do código malicioso pode colocar código Javascript em uma  página Web que dirige o navegador a um URL específico relacionado com a carga da página que carrega código Javascript adicional no navegador. Isto permite ao autor do código malicioso inserir qualquer código que deseje no navegador do usuário usando um comando simples que parece ser legítimo. Este código poderia iniciar ações para analizar os sites favoritos e cookies do  usuário, coletá-los e enviá-los ao servidor do hacker, sem que o usuário saiba. Muitos usuários selecionam a opção para que o navegador "lembre" os nomes de usuário e senhas de sites específicos. Assim, armados com os sites favoritos do navegador, o hacker pode identificar o site do banco on line do usuário, e com os cookies, inserir o nome do usuário e senha. Desta forma, o hacker pode ter acesso as contas bancárias do usuário.

No início deste ano, os hackers  exploraram as vulnerabilidades do arquivo Vector Markup Languege (VML) das máquinas baseadas em Microsoft Windows e infectaram o site do estadio de um time de futebol americano de Miami justo antes do Super Bowl. Os autores do  código malicioso aproveitaram estas vulnerabilidades para carregar automaticamente Javascript malicioso que lhes dessem acesso a PCs infectados. O cavalo de Tróia descarregado foi uma variante de ZLOB que então descarregava um código malicioso relacionado com os ladrões de contas World of Warcraft que havia circulado anteriormente. Acredita-se que uma gangue criminal organizada na China está lançando estes e outros ataques relacionados.

Proteção Contra o Ataque de Hacker de Javascript

Como se descreveu no artigo anterior desta edição de FLOD ("Informe Especial Sobre o Ataque de  Hacker de Javascript"), o ataque de hacker de Javascript está se acelerando através da plataforma de sites Web 2.0 orientados a conteúdo dinâmico. Embora seja simples entender as ameaças potenciais que representa o ataque de hacker de Javascript, tomar medidas para proteger-se contra esta ameaça não é tão fácil.

Não é tão simples

A maneira aparetemente mais simples de proteger-se contra o ataque de hacker de Javascript é inabilitar totalmente o Javascript. Os consumidores podem fazer isto de 2 a 6 cliques dependendo do navegador. As empresas podem estabelecer uma política para inabilitar permanentemente Javascript em todos os navegadores dos empregados. Mesmo que inabilitar Javascript previne o  ataque de hacker de Javascript, também bloquea seu uso legítimo. Por exemplo,  Javascript se utiliza normalmente nas formas on line ao fornecer quadros pop-up que alertam os usuários sobre dados incorretos, calendários que ajudam a selecionar datas, completar automáticamente campos, e outras funções úteis. Javascript também é crucial para efetuar operações de  soluções de software como serviço e outras capacidades de entrega de conteúdo dinâmico.

Uma política corporativa que requer a todos os usuários que inabilitem Javascript em todos os navegadores sempre, exceto para realizar operações críticas para o negócio em sites definidos pudera parecer razoável ; no entanto, definir os sites excepcionais, modificar esta lista de forma constante e aplicar a política, poderia ser difícil. Assim mesmo, já que Javascript está integrado no HTML, desativar  Javascript para um site em particular poderia ser impraticável, o que levaria  a uma opção difícil: proibir o uso de um Web site importante para uso comercial ou permitir seu uso com o risco de sofrer um ataque.