Trend Micro ha rilevato un attacco che sfrutta una vulnerabilità tuttora non risolta mettendo a rischio di infezione tutte le attuali versioni di Microsoft Windows.
La vulnerabilità mette a rischio di infezione gli utenti che visualizzino i contenuti di una cartella nella quale sia presente un'icona "collegamento" (shortcut) o "scorciatoia", senza che sia necessario fare doppio click sull'icona stessa né aprire il documento associato.
Le funzioni di autoesecuzione dei drive USB rende particolarmente pericolosa questa minaccia: per scatenare l'infezione è infatti sufficiente inserire una chiavetta USB, dal momento che Windows apre automaticamente la relativa cartella visualizzandone i file. Sebbene questa vulnerabilità sia più facilmente sfruttabile per mezzo di drive removibili, gli utenti dovrebbero comunque prestare attenzione a tutti i link che puntano a file la cui autenticità non sia garantita.
La vulnerabilità di Windows potrebbe essere teoricamente sfruttata per mezzo di file condivisi contaminati o archivi compressi come i file ZIP. Anziché scrivere un file AUTORUN.INF e una copia di se stesso all'interno dei dischi fissi e removibili, il malware usato da questo attacco scrive un file .LNK, ovvero "collegamento" che punta a un file eseguibile. Questo file .LNK sfrutta a sua volta la vulnerabilità di Windows per propagare nuove copie del malware (WORM_STUXNET.A) su altri sistemi. Il worm non si ferma qui ma scarica anche un rootkit per nascondere le proprie routine. In questo modo, il worm non viene rilevato dall'utente e per i ricercatori è più difficile analizzarlo. Un codice che sfrutta questa vulnerabilità di Windows è già distribuito, e sono quindi possibili ulteriori attacchi.
Il bollettino Microsoft Security Advisory 2286198 riporta alcuni suggerimenti per neutralizzare la vulnerabilità, spiegando, ad esempio, come disabilitare la visualizzazione delle icone scorciatoia e il servizio WebClient, fintanto che non sarà disponibile una patch adeguata. Gli utenti di Trend Micro Smart Protection Network sono protetti dal codice pericoloso di questo attacco fin da giovedì 15 luglio; gli altri utenti possono ricorrere a Trend Micro HouseCall per controllare e rimuovere eventuali infezioni. Ulteriori informazioni su questo attacco sono disponibili su TrendLabs Blog e TrendWatch.