Microsoft: i bug zero-day non fanno paura

Microsoft ha pubblicato il volume 11 del Security Intelligence Report che offre un quadro dettagliato di vulnerabilità, exploit, malware e software potenzialmente indesiderato rilevato in prodotti Microsoft e di terze parti. Nel periodo preso in esame (prima metà del 2011) è stato rilevato il fatto che il rischio non deriva dalle vulnerabilità zero-day, ma principalmente da software non aggiornato.

Le vulnerabilità zero-day, per le quali il produttore del software non ha ancora rilasciato un aggiornamento, ricevono molta attenzione dalla stampa specializzata, ma in realtà lo strumento di rimozione malware (MSRT) usato per raccogliere i dati, ha rilevato che questi bug sono stati sfruttati solo nello 0,12% dei casi. Il 99% degli attacchi invece utilizza vulnerabilità non corrette e il social engineering. Colpendo pertanto prima le debolezze dell’utente che non le debolezze del software.

Nel 45% dei casi, la propagazione del malware nel sistema è da attribuire alla scarsa attenzione prestata dagli utenti, in quanto l’infezione entra in azione solo dopo la loro interazione. Oltre al social engineering, sempre più diffuso attraverso la posta elettronica e i social network, viene sfruttata la funzionalità di Autorun per eseguire codice dannoso memorizzato su CD o dispositivi USB. Microsoft dunque consiglia di disabilitare l’esecuzione automatica installando la patch disponibile da febbraio 2011 per Windows XP e Vista, oppure di passare a Windows 7.

Per quanto riguarda invece i software non aggiornati, Microsoft punta il dito sopratutto su Java che è stato il prodotto con più exploit individuati nel primo semestre del 2011. Anche il numero di attacchi contro Adobe Flash è aumentato del 40% nel secondo trimestre mentre, relativamente agli attacchi veicolati per mezzo di documenti, al primo posto ci sono Adobe Acrobat e Reader. Per evitare questi pericoli è sufficiente scaricare ed installare le patch messe a disposizione dai rispettivi produttori, garantendo così piena salubrità al proprio sistema di fronte al 99% degli attacchi.