ZERO DAY ZERO DAY ZERO DAY INTERNET EXPLORER

A Microsoft emitiu neste sábado aviso de segurança sobre falha. Hackers podem explorar falha para executar código malicioso quando usuário visita um site.

Num primeiro alerta de segurança após a aposentadoria do Windows XP, a Microsoft publicou neste final de semana comunicado informando a descoberta de uma vulnerabilidade nas versões 6,7,8,9,10 e 11 [ou seja, todas as versões] do navegador Internet Explorer (IE), que permite aos hackers invadir e executar remotamente código malicioso em PCs.
A vulnerabilidade foi identificada primeiro pela empresa de segurança FireEye que, na sexta-feira, 25/04, liberou um alerta de "zero day" mencionando que o problema atingiria as versões 9, 10 e 11 do IE. O alerta da FireEye foi seguido no sábado pelo comunicado da Microsoft.
Segundo a Microsoft, foram identificados atentados contra usuários do IE que, ao visitar certos sites maliciosos de internet, foram atingidos por um tipo de ataque chamado "drive-bys". O ataque está na lista das invasões mais perigosas porque um browser vulnerável pode ser hackeado no momento em que ele abre a URL maliciosa.
A companhia explica que a vulnerabilidade permite que o Internet Explorer acesse um um objeto na memória do computador que já tenha sido apagado ou que não tenha sido alocado de forma apropriada. Ela permite corromper a memória da máquina de uma forma que dá ao atacante a chance de executar remotamente um código malicioso enquanto o usuário está visitando o site.
O risco é de cibercriminosos prepararem sites projetados especificamente para esse tipo de ataque e atrairem os usuários para eles por meio de uma mensagem de e-mail falsa ou outro tipo de link.
Todas as versões do IE estão sob risco, incluindo a versão 6 do IE de 2001, que ainda recebe updates de segurança no Windows Server 2003 mas que, desde 8 de abril de 2014, não mais receberá nenhum update de segurança no Windows XP, já que essa versão do sistema operacional foi aposentada.
A Microsoft não prometeu explicitamente uma correção da falha, mas é esperado que a empresa o faça usando sua já tradicional Patch Tuesday, uma terça-feira em que a companhia distribui um lote de correções e updates para seus produtos de software. A próxima Patch Tuesday está programada para 13 de maio, dentro de duas semanas.
Enquanto isso, usuários que ainda permanecem com o Windows XP e que queriam se proteger do problema podem instalar o Enhanced Mitigation Experience Toolkit (EMET) 4.1, um utilitário contra ataques que está disponível no site da Microsoft.

O alerta de segurança publicado pela Microsoft inclui outras medidas que os usuários do IE podem tomar para reduzir o risco. Entre elas está desabilitar o arquivo vgx.dll file. Esse .dll (de dynamic-link library) é um dos módulos responsáveis por renderizar a VML (vector markup language) dentro do Windows e IE.


O departamento do governo americano responsável pela segurança na Internet recomendou que os utilizadores do Internet Explorer deixem de utilizar o navegador até que a vulnerabilidade anunciada no sábado seja consertada.

A falha é grave e afecta todas as versões do software - 6, 7, 8, 9, 10 e 11. Através dela, é possível executar um código remotamente através do navegador. «A vulnerabilidade existe na forma como o Internet Explorer acede a um objecto na memória que foi excluído ou não tenha sido devidamente alocado», explica a MS.
Segundo a empresa, o invasor pode hospedar um site especificamente criado para explorar a falha e convencer o utilizador a aceder a ele através de links por e-mail ou comunicadores instantâneos.
Em comunicado, a Microsoft diz estar «consciente das limitações e possíveis problemas» e encoraja os clientes a seguir as orientações descritas no comunicado de segurança (em inglês) divulgado por ela para «amenizar eventuais ocorrências».

fonte: http://diariodigital.sapo.pt/news.asp?id_news=698826
 http://pcworld.com.br/noticias/2014/04/27/nova-vulnerabilidade-afeta-todas-as-versoes-do-internet-explorer/

ZERO DAY = Vulnerabilidade sem solução (até o momento)

RealVNC Security Update: Heartbleed

***ATENÇÃO USUÁRIOS DO REALVNC***

Recebi este e-mail da equipe da empresa RealVnc:

Dear VNC User,

You may be aware that technology researchers have disclosed a vulnerability in the OpenSSL technology, commonly referred to as "OpenSSL Heartbleed."

We would like to reassure you that we immediately reviewed all RealVNC products and services that use the OpenSSL library, and can confirm that no RealVNC application software has been affected, as the version that we use is not one that is affected by the "Heartbleed" issue.

If you would like further information please read our knowledge base article.

Thank you for using VNC.

The RealVNC Team
www.realvnc.com

Heartbleed: O que é, como atingiu a internet e preciso mudar minhas senhas?

1. O que foi o HeartBleed?

Nem vírus, nem a arma final da NSA para vasculhar sua vida privada (que já está disponível no Facebook, de qualquer forma). O HeartBleed é uma falha no código do OpenSSL, um protocolo de código aberto usado para criptografia de dados que trafegam na internet.

2. Como funciona?

Uma parte do código do OpenSSL trouxe uma falha que possibilitava a quem acessava uma base de dados requisitar mais informações que o necessário. Isso significa que uma pessoa má intencionada conseguiria capturar muito mais dados que os precisos para realizar uma ação, e nestes dados podem estar desde coisas sem importância ou códigos sem sentido algum até chaves de senha dos usuários ou informações "sensíveis", como dados bancários.

3. Por que eu devo me importar?

O padrão aberto OpenSSL é amplamente utilizado, algo em torno de 66% da internet. "Peixes grandes" como Google, Facebook, Yahoo, Dropbox, Tumblr e Amazon estão entre os principais sites a utilizarem o OpenSSL, o que nos dá uma noção do impacto da falha. O código falho foi introduzido em 2012, o que significa que por um período de dois anos a vulnerabilidade esteve presente, sem ser percebida.

 4. De quem foi a culpa? 

O responsável pela falha já tem nome: Robin Seggelmann (foto à esquerda). O engenheiro de software alemão introduziu o código falho no repositório do OpenSSL no último dia de 2011. Segundo Seggelmann, a falha foi acidental, e entre seus objetivos haviam correções de bugs e melhorias para o OpenSSL em seu código. Seu erro foi, em um dos processos, não delimitar a quantidade de dados que o cliente pode requerer ao servidor, abrindo espaço a vulnerabilidade.

Culpar simplesemente Seggelmann, porém, é um injusto. Todos os códigos inseridos no reposítório opensource passam por revisões, o que significa que outras pessoas tiveram acesso ao trecho implementado pelo alemão, antes dele entrar em ação. 

5. Quem explorou ela?

NSA, os Illuminati, os nazistas que construíram uma base no lado escuro da Lua e que pretendem uma revanche no estilo "melhor de três". As teorias conspiratórias estão a todo o vapor, e por um motivo: não dá para saber. A falha introduzida por Seggelmann não produzia nenhum log ou registro dos clientes do servidor e suas requisições, o que significa que não apenas a vulnerabilidade existe há dois anos, como também não fazemos nenhuma ideia de quem se aproveitou dela, no período. 

 6. Então, mudo minhas senhas ou não?

Sim, mas calma lá. A correção foi feita em diversos servidores, mas não adianta sair mudando tudo antes de saber se a correção foi implementada. Dá para testar sites que corrigiram a falha através destes link, o Mashable levantou uma lista de sites populares que foram afetados pelo Heartbleed, e se os usuários devem mudar sua senha (em inglês).

Com duas semanas desde a descoberta da falha, a maioria dos serviços já se atualizaram para a nova versão do OpenSSL, o que significa que vale a pena mudar as senhas na maioria dos serviços. Como não há forma de confirmar se seus dados foram expostos ou não, o melhor caminho e evitar surpresas com a substituição das senhas.

 7. Que lição tiramos deste caso?

Só porque o código é aberto, disponível para todos e amplamente utilizado, não significa que ele esteja livre de falhas. O caso BleedHeart ganhou notoriedade por seu amplo impacto e a demora para ser descoberto. Mostrou também o descaso com um elemento tão importante da internet: o OpenSSL é utilizado amplamente por grandes empresas, porém é mantido apenas por (poucas) doações. Da mesma forma como outras empresas que criam software livre, como a Canonical, a OpenSSL vende assistência e cursos como forma de levantar fundos para operar, junto com o trabalho voluntário de colaboradores. Por mais que este modelo funcione muito bem, o caso levanta a polêmica sobre como deve ser gerido um padrão tão crucial para o funcionamento da internet.

fonte: http://adrenaline.uol.com.br/seguranca/artigos/362/heartbleed-o-que-e-como-atingiu-a-internet-e-preciso-mudar-minhas-senhas.html

Ate o DealExtreme alerta:

Que tal saber quem anda bisbilhotando seu Whatsapp e Facebook?!

PEEPERPEERER

SEGURANÇA

O PeeperPeerer é um aplicativo dedicado para os usuários de smartphones que têm receio de que alguém esteja fuçando suas redes sociais escondido. Disponível para Android, ele cria atalhos falsos de apps como WhatsApp, Facebook e Facebook Messenger e tira uma foto quando o bisbilhoteiro tenta abri-los.

Para usar, basta abrir o programa e selecionar quais ícones você deseja imitar. Além dos citados, há os mensageiros Line e WeChat. Após escolher, arraste atalhos falsos para sua tela inicial para enganar os curiosos.

Em seguida, o software abre uma tela falsa de cada aplicativo imitado e acusa uma mensagem de erro de conexão. Dessa maneira, a ferramenta usa a câmera frontal para tirar uma foto da pessoa usando seu smartphone sem permissão.

Depois disso, basta acessar o serviço e conferir as imagens, que mostram o aplicativo fuçado, data e hora exatos em que alguém tentou acessá-lo. Baixe agora o PeeperPeerer e descubra quem está querendo checar suas informações pessoais nas redes sociais!

LINK PARA DOWNLOAD:

https://play.google.com/store/apps/details?id=com.tiny.fakeapp

fonte: http://www.techtudo.com.br/tudo-sobre/s/peeperpeerer.html

O processador ideal para você

Usando o Google como Ferramenta Hacker

O Google Hack funciona sim!!! Durante minha pós graduação (Segurança em Redes) fizemos um trabalho sobre invasão por SQL Injection e o Google Hack fora a ferramente de busca. 
Façam testes nos sites e sistemas virados externamente de sua empresa!

Por favor, use a ferramenta para o bem! (SQN! hahaha...)
obs: E ainda dizem que 'A Verdade está la fora'

Boa leitura!
A utilização de agentes buscadores para catalogar páginas, ao mesmo tempo em que aumenta consideravelmente o número de respostas da ferramenta, traz o problema de muitas vezes catalogar mais do que os administradores de páginas gostariam. Isso porque muitos servidores conectados a Internet – e, portanto, passíveis de serem catalogados por agentes buscadores – não foram configurados de forma segura, contando apenas com o fato de não serem conhecidos para se protegerem. Assim, se os agentes do Google encontrarem, por exemplo, arquivos sigilosos ao fazerem uma varredura nos servidores de sua empresa, eles irão adicionar tais arquivos e páginas à base de dados do Google na primeira oportunidade, já que não são capazes de diferenciar o que é público do que é confidencial.
Dessa forma, muita informação “sensível” pode ser encontrada, bastando que se saiba o que procurar. Não bastasse isso, o Google armazena no “cache” uma versão da sua página ou arquivo, de modo que mesmo corrigindo o problema do seu servidor, seus dados podem ainda estar expostos. Vejamos alguns tipos de ataques que podem ser feitos através do Google.
Nota: é importante observar que a maioria dos ataques e técnicas aqui exemplificados não são nenhuma novidade. Existem registros sobre alguns destes que datam de 2001, o que indica que usuários maliciosos vêm explorando tais características de sistemas de busca a mais tempo ainda.


Ataque #1 – Identificação de servidores
Para identificar todas as páginas da Google que o próprio Google já catalogou, por exemplo, basta
digitar:

* inurl:google.com
Para encontrar servidores extras dentro do mesmo domínio, subtraia o domínio principal da busca anterior. No exemplo, podemos entrar com inurl:google.com –inurl:Google para listar diversos subdomínios dentro de “google.com” (como, por exemplo, “images.google.com”, “gmail.google.com”, “desktop.google.com”, etc).

É possível ainda encontrar serviços remotos em execução. Veja os exemplos à seguir:

* intitle:”VNC Desktop ” inurl:5800 # procura por servidores “VNC” em execução
* intitle:”remote desktop web connection” # refere-se à Área de Trabalho Remota (“Windows Remote Desktop”)
* intitle:”Terminal Services Web Connection” # refere-se ao serviço de terminal (“terminal services”) da Microsoft
* allintitle:”microsoft outlook web access” logon # busca por páginas de acesso remoto ao webmail Microsoft
Outlook

Ataque #2 – Servidores negligenciados
Muitos servidores de páginas web, como o Apache, exibem páginas padrão ao serem instalados. Isso é feito essencialmente para mostrar ao administrador que o serviço está sendo executado sem problemas, e oferecer dicas sobre como proceder em seguida. Acontece que muitas pessoas acabam instalando servidores sem saber, e embora a existência da página padrão não indique especificamente uma vulnerabilidade, costuma mostrar que o servidor em questão foi negligenciado pelos administradores, e possivelmente está com suas configurações padrão.
Afinal, se o administrador não se deu ao trabalho de sequer modificar a página principal do servidor, é muito provável que ele também não tenha se preocupado em atualizar o mesmo, ou em tornar o próprio sistema mais seguro. 
Buscar por:

* intitle:”test page for Apache”
* intitle:“Página teste para a instalação do Apache”
retorna uma lista de servidores que estão exibindo a página padrão do Apache.

Para procurar por páginas padrão do IIS, poderíamos buscar por:

* intitle:welcome.to.IIS.4.0
* intitle:”welcome to windows 2000 internet services”
* intitle:”welcome to windows xp server internet services”
* “under construction” “does not currently have” para servidores mais novos.

Ataque #3 – Listagem de diretórios
Configurar servidores adequadamente pode ser uma tarefa bastante confusa, e de fato muitos administradores cometem erros na hora de determinar que diretórios do sistema podem ou não ser acessados via Internet. Além disso, servidores costumam permitir a listagem dos arquivos e subdiretórios dentro de um diretório que possa ser acessado mas não tenha a página de nome padrão
(geralmente “index.html”, embora isso possa ser modificado nas configurações do servidor). Isso permite que usuários maliciosos procurem por listagem de diretórios sensíveis em seu servidor, ou ainda por arquivos específicos dentro de seu sistema, que podem ser acessados pelo nome mesmo que seu servidor esteja configurado para não listar o conteúdo de diretórios (desde que, é claro, o servidor tenha permitido acesso ao arquivo devido a má configuração do servidor). 
É possível, por exemplo, buscar por:

* intitle:index of/admin
retorna listagem de diretórios chamados “admin”, comumente utilizados por administradores de sistemas para guardar arquivos e dados – possivelmente sensíveis.

Buscar por arquivos e subdiretórios específicos dentro de listagens diretórios também é possível, como por exemplo:

* intitle:”index of” .htpasswd
* intitle:”index of” backup

fonte: Usando o Google como ferramenta hacker – Parte 1 

Ataque #4 – Senhas
Muitos servidores mal configurados tornam públicos seus arquivos de registro (“logs”), permitindo assim que usuários maliciosos obtenham senhas de sistemas (muitas vezes com privilégios de administrador) sem trabalho algum, bastando buscar por:

* filetype:log inurl:”password.log”

Ataque #5 – Explorando bancos de dados
Grande parte dos servidores web precisa de serviços de banco de dados instalados, mas muitos não são bem configurados e acabam fornecendo informações sigilosas, como tabelas inteiras, que podem conter até mesmo campos com nome de usuários e senhas válidas dentro do sistema. 
A seguinte busca procura por tais tabelas:

* “# dumping data for table” (username|user|users) password

Conhecendo um pouco da estrutura de arquivos de uma base de dados SQL, é possível ir diretamente atrás de arquivos que contenham senhas, como por exemplo através da busca:

* filetype:properties inurl:db intext:password

É possível ainda identificar bancos de dados vulneráveis a ataques de “injeção de SQL”, ao pesquisarmos por mensagens de erro que tipicamente denunciam esse problema:

* “ORA-00921: unexpected end of SQL command”
* “ORA-00933: SQL command not properly ended”
* “unclosed quotation mark before the character string”

Ataque #6 – Explorando relatórios de segurança
Administradores preocupados com a segurança de seus sistemas costumam executar programas específicos que realizam varreduras de segurança e identificam vulnerabilidades em seus servidores.
Procurar por:

* “This file was generated by Nessus”
* “This report lists” “identified by Internet Scanner”

retorna desde páginas exemplo até relatórios reais, que indicam as vulnerabilidades encontradas em determinados servidores, que colocaram os relatórios das ferramentas (como o “nessus” ou o “ISS”, do exemplo acima) em uma área pública.

Ataque #7 – Usando o Google como um web proxy
A possibilidade de se traduzir páginas é um dos grandes atrativos do Google. Através da páginaGoogle Translate podemos digitar uma URL qualquer e o Google fará a tradução da página de acordo com o idioma desejado. O procedimento é simples: O Google acessa a página, traduz, e retorna ela para você. Na prática, você não fez nenhuma conexão direta à página desejada, e o Google atuou como um web proxy para você. O único problema desse procedimento é que você precisaria traduzir a página desejada de algum idioma para outro, e visualizá-la somente no idioma destino. No entanto, isso pode ser facilmente contornado. 
A sintaxe retornada pelo Google para as traduções é no seguinte formato:

* Google Translate

onde PAGINA é a URL completa desejada, LANG1 é o código para o idioma original da página, e LANG2 é o código para o idioma destino. Manipulando esses valores, podemos colocar o mesmo idioma como origem e destino, e assim ver a página em seu idioma original, utilizando o Google como web proxy.
Para ver o conteúdo da página do GRIS (em português) através do Google, basta digitar:

* Google Translate

Idiomas identificados pelo Google até a data de publicação deste documento são:

* de (alemão)
* es (espanhol)
* fr (francês)
* it (italiano)
* pt (português)
* us (inglês)

Ataque #8 – Fazendo o “googlebot” lançar ataques por você.
Como visto no início deste documento, o “googlebot” é o agente responsável pela busca e classificação das páginas dentro de servidores. Pedir ao agente para visitar sua página é um procedimento fácil, e que pode ser feito de muitas maneiras diferentes. Uma vez dentro de sua página, o “googlebot” (e qualquer outro agente de serviços de busca, na verdade) vai registrar e seguir cada um dos links que você incluir dentro da mesma, não importa quais sejam. Um usuário pode, portanto, adicionar links de natureza maliciosa em sua página e apenas esperar os agentes surgirem para fazer o “trabalho sujo” por ele. Os agentes buscadores se encarregarão de executar o ataque e, não bastasse isso, ainda podem colocar os resultados devolvidos pelas vítimas (caso existam) publicamente em suas páginas de busca, para que qualquer um (inclusive o atacante) possa ver. Exemplos links com ataques potenciais incluem:

* http://algumhost/cgi-bin/script.pl?p1=`ataque`
* http://algumhost:54321/ataque?`id`
* http://algumhost/AAAAAAAAAAAAAAAAAAAAAAAAAAAA…

Repare que é possível ainda manipular a sintaxe das URLs para mandar o agente acessar o servidor alvo em portas específicas (na segunda linha de exemplo, mandamos ele acessar a porta 54321).
Existem muitas outras formas de ataque possíveis através de mecanismos de busca. Sabendo o que procurar, é possível utilizar o Google para encontrar informações que vão de dados de um servidor até senhas de banco e números de cartão de crédito.

Mas Calma!!! Nunca estamos 100% seguros, mas podemos minimizar as falhas....

Usando o Google para se defender de ataques:
Da mesma forma que o Google pode ser usado por usuários maliciosos a fim de atacar seus servidores e clientes, você também pode utilizá-lo para proteger os mesmos através de algumas simples ações e constante vigilância. Essencialmente, não coloque informações sensíveis em seus servidores, ainda que temporariamente.

Configure seus servidores com atenção redobrada e verifique regularmente sua presença (e a presença de seu sistema) dentro do Google, utilizando o operador “site:” para fazer pesquisas em todos os seus servidores. Este operador também aceita números de IP como parâmetro, então é possível utilizá-lo em seu servidor de IP fixo mesmo que ele não tenha um nome de domínio válido.
O procedimento de verificação acima pode ser automatizado através da utilização de ferramentas gratuitas disponibilizadas na Internet, dentre elas o “sitedigger”, da Foundstone, que pode ser obtido em:

* http://www.foundstone.com/resources/...sitedigger.htm

e o Wikto, da Sensepost, que pode ser obtido em:

* http://www.sensepost.com/research/wikto/

Consertando o estrago que já foi feito:
Ainda que você tome as devidas atitudes ao identificar um problema em seus sistemas através do Google, este pode continuar exibindo sua página, dados ou arquivos indesejados através do sistema de armazenamento de páginas. Para resolver esse problema, basta avisar ao Google que você quer a referência anterior à sua página atualizada ou removida, acessando Google Webmaster Central e seguindo as indicações. Naturalmente, para remover a referência a um servidor, você precisará provar que é o administrador do mesmo.

fonte:
GRIS ( Grupo de Resposta a Incidentes de Segurança ) da UFRJ por este excelente material que está disponível neste link.
Traduzido e Adaptado por firebits
http://www.backtrack-linux.org/forum.../firebits.html

Acesso Remoto da MS via iOS e Android

A Microsoft lançou nesta quinta-feira, 17, um novo aplicativo que permitirá aos usuários de iOS e Android comandarem seu PC remotamente, tanto por tablet quanto celular. O aplicativo é gratuito e usa o protocolo RDP (Remote Desktop Protocol), utilizado em outras aplicações da empresa.

A empresa afirma que o recurso será compatível com todas as versões do Windows, desde que o sistema tenha ativo a ferramenta de acesso remoto.

O recurso é principalmente voltado para usuários corporativos, interessados em se conectar ao seu PC remotamente para trabalho enquanto estão fora do escritório, mas é possível utilizá-lo para qualquer finalidade.

Curiosamente, o aplicativo não foi lançado para Windows Phone. Para executar a função, o computador também deverá executar o Remote Desktop, mas como um host, para permitir a conexão.

Para baixar o aplicativo para Android clique aqui para ir para o Google Play. Já para fazer o download para iOS, é só clicar aqui para ir para a App Store

fonte: http://olhardigital.uol.com.br/noticia/38312/38312

Vírus é capaz de alterar boletos gerados na web e desviar os pagamentos

O site Linha Defensiva, especializado em segurança, alerta para o perigo de uma nova e inteligente praga virtual no Brasil. Em publicação desta manhã (15), o portal revela que o malware é capaz de alterar a numeração da linha digitável de boletos bancários acessados pelos navegadores, desviando o destino de pagamento.

Como funciona

A fraude foi muito bem planejada pelos criminosos. Primeiramente, o vírus verifica a presença de softwares de segurança dos bancos e tenta removê-los. Como se isso não bastasse, o invasor desabilita o firewall do sistema operacional, efetua uma cópia de si mesmo com um nome qualquer e configura esse “desmembramento” para ser iniciado junto com a inicialização do computador.

Depois de se infiltrar no SO, a praga permanece monitorando as atividades realizadas no PC e detecta quando um boleto é aberto no browser. Ao perceber esse tipo de atividade, ele altera a numeração do documento e corrompe o código de barras, obrigando que a transação seja efetuada pelo primeiro recurso — o qual foi alterado para encaminhar o pagamento para uma conta fraudulenta.

Dessa forma, o grande problema é que mesmo ao imprimir o boleto você não escapará do golpe. Assim, até mesmo quem não utiliza o internet banking está suscetível a cair nessa armadilha. Na galeria de imagens abaixo, você pode conferir exemplos de boletos maliciosos.

Aprenda a se defender

A nova linha digitável aplicada pelo vírus não altera os dados legíveis do boleto, como valores, datas de vencimento ou nomes e logos dos bancos, dificultando a percepção da fraude. Além disso, o golpe não funciona a partir de um site ou navegador específico, o que permite a praga atuar com documentos de pagamento gerados a partir de qualquer instituição financeira.

Para se defender dessa ameaça e identificá-la o mais rápido possível, o Linha Defensiva fornece algumas dicas importantes:

• Ao ser corrompido, o código de barras fica com espaços em branco. Esses buracos são os responsáveis pelo erro de leitura pelos caixas eletrônicos ou aplicativos baseados no QR Code, por exemplo;
• As numerações modificadas das linhas digitáveis dos documentos são sempre parecidas. Assim, se ao emitir mais de um boleto você perceber um número muito similar, abra o olho;
• Por fim, os logos dos bancos nem sempre correspondem aos seu correto código de identificação.

fonte: http://news.hackersec.com/2013/04/virus-e-capaz-de-alterar-boletos.html

Será que é virus???

Sempre que tiverem dúvidas sobre a veracidade e confiabilidade de um arquivo, ou link, acessem este endereço e façam testes:

https://www.virustotal.com/pt/

Exemplo de um arquivo de NF-e fake: