Bug no Internet Explorer ajuda a enganar usuários

Foi descoberta e divulgada por http-equiv, membro do site malware.com, uma nova falha no navegador da Microsoft Internet Explorer, variante de um outro bug descoberto há três anos e ainda não consertado. Com ela, sites podem manipular nomes de arquivos, fazendo com que usuários baixem e executem gato por lebre.

A falha consiste na manipulação de objetos COM, usados no Windows para comunicação entre aplicativos, para fazer o Internet Explorer exibir um nome para o arquivo, quando na verdade ele tem outro. Desta, forma, um usuário pode baixar o que parece ser um arquivo seguro, um documento PDF, por exemplo, e pedir que o navegador o abra automaticamente. Na verdade, ele pode estar baixando e executando a última versão de um worm, trojan ou vírus.

Combinado a uma outra falha recente, que permite que o endereço mostrado na janela do navegador seja alterado à vontade, o bug tem um potencial imenso para usos maliciosos. Um usuário poderia ser levado a pensar que está baixando o arquivo DicasDoXP.pdf de www.microsoft.com, quando na verdade está copiando virus.exe de www.paginagratis.com/sitedocracker.

Até o momento, nenhuma das falhas tem correção, e ambas afetam o Internet Explorer 6, e potencialmente versões anteriores. A Secunia, empresa especializada em segurança, disponibilizou em seu site um teste para que você possa determinar se está vulnerável. Clique no link e você deve ver uma caixa de diálogo pedindo para salvar um arquivo. Se o nome for Secunia_Internet_Explorer.pdf seu navegador é vulnerável. Na verdade, trata-se de um arquivo HTML.

Nesta situação, como se proteger? A única forma confiável é trocar o navegador. Há alternativas comercias, como o Opera, e produtos gratuitos como o Mozilla ou sua variante mais leve, o Firebird. Nenhum deles é vulnerável, e de brinde você ganha recursos como bloqueador de janelas pop-up, navegação com abas (permite que você veja múltiplos sites em uma única janela) e outros controles que ajudam a proteger sua privacidade.