Protegendo seu browser contra ataques do MPack

Colaboração: Gabriel Menezes Nunes

Data de Publicação: 14 de Outubro de 2007

Alguns já devem estar cientes de diversos ataques ocorrendo por todo o mundo através da suíte MPack (http://blogs.technet.com/fcima/archive/2007/06/28/an-lise-do-mpack.aspx). Essa suíte é um conjunto de scripts em PHP que é capaz de infiltrar um IFrame no site comprometido e redirecionar o usuário para uma página onde está hospedado o MPack. Lá esse script identifica o browser e sistema operacional da vítima e explora falhas de software conhecidas como as diversas vulnerabilidades do Firefox, Internet Explorer, Opera e plugins como Quicktime, Winzip e Flash.

Uma maneira de se proteger contra tal ataque seria a mudanca do User-Agent enviado pelo browser para o site. Tal mudanca irá impedir que o script localize as versões reais do browser e sistema operacional e mesmo com a falha, o ataque não será realizado, já que um ataque de uma falha do Firefox no Internet explorer, por exemplo, seria ineficaz.

Isso é facilmente feito com o Firefox.

Digite about:config no campo de url do Firefox.

Lá você terá acesso a diversas strings utilizadas pelo browser.

Digite 'useragent' no campo Filter (Filtro) para localizar as strings enviadas pelo browser.

Agora será necessário adicionar uma nova string. Clique com o botão direito do mouse, escolha New -- String. No nome da string coloque: general.useragent.override. O valor dessa string pode ser qualquer coisa. O interessante seria colocar uma string pertencente a outro browser como por exemplo, a string do Internet Explorer no Firefox. Caso um ataque seja lancado, ele nao sera efetivo ja que ataques de overflow são extremamente dependentes de binários e uma falha no internet explorer dificilmente vai existir no firefox e vice versa.

Uma string exemplo seria:

  Mozilla/4.0 (compatible; MSIE 5.5; Windows NT 5.0)

Um efeito colateral dessa protecão é que sites que utilizam web 2.0 necessitam saber qual o seu browser, logo você não verá essa página com todas as suas possibilidades. Para usar tais páginas como o Gmail, você terá que clicar com o botão direito em cima do general.useragent.override e escolher Reset.

Lembre-se que esse método o protege contra falhas no browser e não nos plugins já que eles são compartilhados entre os navegadores.

Com isso você estará protegido contra esses ataques automatizados, mas a melhor proteção é a atualizacão do software sempre que sai uma nova vulnerabilidade.