Internet explorer 8 nul dages udnyttelse målrettede atomarbejdere

Sent i april opdagede sikkerhedsforskere en udnyttelse i Internet Explorer 8, der gjorde det muligt for angribere at udføre ondsindet kode på et offerets computer. Mest uroligende er udnyttelsen fundet i naturen på et US Department of Labor (DoL) -websted, der muligvis er rettet mod arbejdstagere med adgang til nukleare eller andre giftige materialer. I weekenden bekræftede Microsoft, at udnyttelsen var en ny nul-dag i IE 8.

Udnyttelsen

Microsoft udsendte fredag ​​en sikkerhedsanvisning, der bekræftede udnyttelsen i Internet Explorer 8 CVE-2013-1347, og bemærkede, at version 6, 7, 9 og 10 ikke blev påvirket.

"Dette er en sårbarhed med ekstern kodeudførelse, " skrev Microsoft. "Sårbarheden eksisterer på den måde, hvor Internet Explorer får adgang til et objekt i hukommelsen, der er blevet slettet eller ikke er blevet korrekt tildelt. Sårbarheden kan ødelægge hukommelsen på en måde, der kan give en angriber mulighed for at udføre vilkårlig kode i sammenhæng med den aktuelle bruger indenfor Internet Explorer."

"En angriber kunne være vært for et specielt udformet websted, der er designet til at udnytte denne sårbarhed gennem Internet Explorer og derefter overbevise en bruger til at se webstedet, " skriver Microsoft. Desværre ser det ud til, at dette allerede er sket.

I det vilde

Udnyttelsen blev først bemærket i slutningen af ​​april af sikkerhedsfirmaet Invincea. De bemærkede, at DoL-webstedet så ud til at omdirigere besøgende til et andet websted, hvor en variant af Poison Ivy Trojan var installeret på offerets enhed.

AlienVault Labs skrev, at selvom malware-programmet udførte en række aktiviteter, scannede det også offerets computer for at bestemme, hvad der, om nogen, anit-virus var til stede. Ifølge AlienVault kontrollerede malware'en for tilstedeværelsen af ​​Avira, Bitdefneder, McAfee, AVG, Eset, Dr. Web, MSE, Sophos, F-sikker og Kasperky-software blandt andre.

På Cisco Blog skriver Craig Williams, "disse oplysninger vil sandsynligvis blive brugt til at lette og sikre succes med fremtidige angreb."

Selvom det er vanskeligt at sige, hvad motivationerne bag DoL-angrebet, synes udnyttelsen at være anvendt med nogle mål for øje. Williams kaldte det et "vandhul" -angreb, hvor et populært websted ændres for at inficere indkommende besøgende - svarende til angrebet på udviklere, vi så tidligere i år.

Mens DoL var det første skridt i angrebet, ser det ud til, at de faktiske mål var ved Energiministeriet - specifikt ansatte med adgang til nukleart materiale. AlienVault skriver, at webstedet Exposure Matrices-websted, der indeholder oplysninger om medarbejdernes kompensation for eksponering for giftige stoffer, var involveret.

Williams skrev, "Besøgende på specifikke sider, der er vært for nuklearrelateret indhold på Department of Labor's websted, modtog også skadeligt indhold indlæst fra domænet dol.ns01.us." Det pågældende DoL-sted er siden blevet repareret.

Vær forsigtig derude

Microsofts rådgivende bemærker også, at ofre skulle lokkes til et websted for at udnyttelsen skal være effektiv. "I alle tilfælde vil en angriber imidlertid ikke have nogen måde at tvinge brugere til at besøge disse websteder, " skriver Microsoft.

Da det er muligt, at dette er et målrettet angreb, vil de fleste brugere sandsynligvis ikke støde på udnyttelsen selv. Men hvis det bruges af en gruppe angribere, er det sandsynligt, at andre også har adgang til den nye udnyttelse. Pas som altid på underlige links og alt for gode til at være sande tilbud. I fortiden har angribere brugt socialteknik som kapring af Facebook-konti for at sprede ondsindede links eller få e-mails til at komme fra familiemedlemmer. Det er en god ide at give hvert link en sniff-test.

Microsoft har ikke meddelt, hvornår eller hvordan udnyttelsen vil blive adresseret.