Os Hackers criarão bugs até mesmo depois que a Microsoft aposentar o Windows XP em Abril de 2014. “Você pode esperar ataques”, dizem os especialistas de segurança.
Por Gregg Keizer
Jason Fossen, um instrutor para SANS desde 1998 e um especialista em segurança da Microsoft, disse que é simplesmente uma maneira dos hackers lucrarem com a oportunidade .
"O preço médio no mercado negro para uma exploração de Windows XP é de U$50.000 a US $150.000, um preço relativamente baixo que reflete a resposta da Microsoft," disse Fossen. Quando uma nova vulnerabilidade, apelidada de um "zero-day" é vista na natureza, a Microsoft investiga, reúne um patch e libera para os usuários do XP.
Se existir um bug que é crítico e sendo amplamente utilizado por hackers, a Microsoft mesmo "fora do ciclo", irá emitir uma atualização de segurança fora de sua programação mensal habitual do Patch Tuesday.
Mas depois de 8 de Abril de 2014, a Microsoft vai aposentar o Windows XP e não mais emitir as atualizações de segurança. As únicas exceções: empresas e outras organizações, tais como agências de governo, que pagam uma taxa exorbitante para suporte personalizado, que fornece atualizações críticas de segurança para um sistema operacional que oficialmente já foi declarado morto.
Porque a Microsoft irá parar de emitir os patches para o Windows XP, os hackers vão “guardar” as vulnerabilidades de “zero-day” que eles descobrirem entre agora e Abril de 2014. Ai então vão vendê-los aos criminosos, ou eles o soltarão por si próprios para buscar por PCs desprotegidos após o prazo final.
"Quando alguém descobre uma vulnerabilidade de Windows XP que é confiável, capaz de ser executável remotamente, os hackers a publicam hoje. Microsoft cria um patch nas próximas semanas," disse Fossen. "Mas se guardarem uma vulnerabilidade e esperarem, o preço por isso poderia muito bem ser o dobro de hoje."
Fora qualquer patch oficial da Microsoft, exploits de “zero-day” e Windows XP podem permanecer eficazes por meses, até anos, dependendo de quão bem o software de segurança o detecta e se coloca em quarentena tais ataques.
Se a tese do Fossen estiver correta, haverá sinais de erro bancário, e notavelmente uma redução acentuada no número de vulnerabilidades XP divulgada publicamente ou used-in-the-wild durante o quarto trimestre de 2013 e o primeiro trimestre de 2014.
Fossen "Hackers serão motivados a sentar e esperar”, salientou.
Realmente existem precedentes para a especulação do Fossen, reconheceu, porque a última vez que Microsoft aposentou uma edição do Windows foi em Julho de 2010, com o Windows 2000. Mas de acordo com métricas empresa Net Applications, na época que Windows 2000 existia em apenas quatro décimos de um por cento de todos os PCs.
Windows XP terá uma fatia muito maior quando for decomissionado no ano que vem: com base na taxa atual de declínio do Windows XP. Computerworld projetou que o antigo sistema operacional será executado ainda entre 33% e 34% dos computadores do mundo ate o final de Abril de 2014.
Isso seria 80 vezes o compartilhamento do Windows 2000, na época do fim de vida do produto.
Mas mesmo com minúscula parte do Windows 2000 quando terminou o apoio de suporte, houve relatos que uma edição específica “zero-day” foi criada e vendida.
"Eu ouvi rumores de um novo “zero-day” pode ser encontrado e vendido após o período de apoio expirado [para Windows 2000]," disse HD Moore, criador da popular ferramenta para testes de penetração Metasploit e o oficial chefe de segurança da empresa de segurança Rapid7. "Mas havia poucas ou nenhum exemplo chegando a público."
Moore concordou com Fossen que os bugs do Windows XP serão mais valiosos após Abril de 2014, mas sustentou que todas as vulnerabilidades do Windows aumentariam de valor.
"Algo mais comum, a cerca de três anos foram novos alertas de segurança backporting (proceso de aplicar os patches) em exploits funcionais no Windows 2000 ", disse Moore em um e-mail.
"Toda vez que uma vulnerabilidade do lado do servidor foi encontrada no Windows XP ou Server 2003 muitos olharam se isso também iria trabalhar contra Windows 2000. Meu palpite é que o fim do ciclo de vida do Windows XP irá resultar em vulnerabilidades em todos os Windows sendo de valor ligeiramente mais elevado, especialmente tendo em conta a diferença de mitigações de exploração entre o XP e mais as plataformas mais recentes."