RNP > Serviços > Segurança em redes > Alertas do CAIS

Vulnerabilidades no aplicativo Zboard

Alerta do CAIS 20092005a

[CAIS, 20.09.2005-17:03, revisão 01]

O CAIS está acompanhando desde meados de Agosto a exploração de vulnerabilidades relacionadas ao aplicativo Zboard (Zeroboard).

O Zeroboard consiste em uma aplicação web que prove as funcionalidades de um BBS (Bulletin Board System). O que chama a atenção em relação a estas explorações é o fato de que após atacados e comprometidos, estes sites têm sido utilizados para abrigar páginas falsas de bancos e servindo como repositório de arquivos maliciosos (malware). Das 6 vulnerabilidades conhecidas de Zeroboard, pelo menos 2 permitem que se inclua arquivos arbitrários no servidor web.

Os casos reportados ao CAIS envolvem, em sua maioria, sites hospedados na Coréia (.kr). Esta concentração de incidentes pode ser explicada pelo fato do aplicativo ter sido desenvolvido neste pais e pelo uso intenso do aplicativo no mesmo, incluindo sites (.org, .com, .net) relacionados com a Coréia. O CAIS reportou estas atividades ao grupo de segurança do governo da Coréia, KrCERT, com o qual o CAIS possui parceria para a troca de informações relacionadas com tendências de ataques.

Exemplos de casos de Phishing e Malware tratados pelo CAIS (os nomes dos sites foram alterados propositalmente):

Sites com malware:
http://xxxxxxx.com/%7Emdotcom/bbs/sonhei_com_voce.scr
http://www.xxxxxxxx.sc.kr/bbs/data/new/TSErelatorio.scr
http://xx.xxxxxx.net/bbs/data/a/IBanking.scr

Sites envolvidos com ataques de Phishing:
http://www.xxxx.co.kr/bbs/data/index.html
http://www.xxxxxx.org/bbs/data/index.html

Combate à atividade maliciosa

Usuários e administradores que tenham a intenção de colaborar com o combate à atividades maliciosas na Internet e/ou que receberam um email contendo algum link para um aplicativo suspeito podem enviar o link ou realizar um bounce (reenvio sem edição) da mensagem original para o endereço artefatos@cais.rnp.br

Mensagens relacionadas com páginas falsas (principalmente bancos e instituições financeiras) devem ser enviadas (endereço da página falsa ou bounce da mensagem original) para aphishing@cais.rnp.br

Sistemas afetados:

• versões 4.1pl2 até 4.1pl5 (vulnerabilidade de XSS)

Correções disponíveis:

Recomenda-se atualizar o software para a versão mais recente:

• ZeroBoard 4.1pl7

Mais informações:

• Secunia Advisory SA13769 - Zeroboard Multiple Vulnerabilities (2005-01-10)
• Secunia Advisory SA13649 - Zeroboard Two Vulnerabilities (2004-12-24)
• Zeroboard Preg_replace Remote Command Execution Vulnerability
• Zeroboard PHP Source Injection
• Como tratar incidentes de phishing
• CAIS-Alerta: Fraudes em Internet Banking

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

O CAIS Alerta também é oferecido no formato RSS/RDF:
http://www.rnp.br/cais/alertas/rss.xml

Contato com o Cais:

+55 (19) 3787-3300
+55 (19) 3787-3301

cais@cais.rnp.br

Chave PGP pública do Cais