Nový, tj nultý deň používaný pri útoku na napájaciu dieru, sleduje pamäť

Útočníci zneužívajú vážne zraniteľné miesta v programe Internet Explorer pri útoku na zavlažovanie, varovali vedci z bezpečnostnej spoločnosti FireEye. Používatelia, ktorí oklamali prístup k infikovaným webovým stránkam, sú zasiahnutí škodlivým softvérom, ktorý pri klasickom útoku typu drive-by infikuje pamäť počítača.

Útočníci vložili škodlivý kód, ktorý v prehliadači Internet Explorer zneužíva najmenej dve nulové chyby, na „strategicky dôležitú webovú stránku, o ktorej je známe, že priťahuje návštevníkov, ktorí sa pravdepodobne zaujímajú o národnú a medzinárodnú bezpečnostnú politiku, “ uviedla vo svojej analýze minulý týždeň FireEye. FireEye neidentifikoval lokalitu okrem toho, že sídlil v Spojených štátoch.

„Využívanie využíva novú zraniteľnosť úniku informácií a zraniteľnosť prístupu IE k out-of-bound memory access, aby sa dosiahlo vykonanie kódu, “ píšu vedci FireEye. „Jedna z zraniteľností je zneužívaná rôznymi spôsobmi.“

Tieto chyby zabezpečenia sa vyskytujú v prehliadači Internet Explorer 7, 8, 9 a 10, ktorý je spustený v systéme Windows XP alebo Windows 7. Zatiaľ čo súčasný útok sa zameriava na anglickú verziu programu Internet Explorer 7 a 8, ktorá je spustená v systéme Windows XP aj Windows 8, môže sa zneužiť zmeniť tak, aby zacieľoval na iné verzie a jazyky, povedal FireEye.

Nezvyčajne prepracované APT

Podľa FireEye táto kampaň s pokročilými hrozbami (APT) používa niektoré z rovnakých príkazových a riadiacich serverov ako servery používané pri predchádzajúcich útokoch APT proti japonským a čínskym cieľom, ktoré sa nazývajú Operation DeputyDog. Tento APT je nezvyčajne sofistikovaný, pretože distribuuje škodlivé užitočné zaťaženie, ktoré beží iba v pamäti počítača, zistil FireEye. Pretože sa na disk nezapisuje, je oveľa ťažšie zistiť alebo nájsť forenznú evidenciu na infikovaných počítačoch.

„Využitím strategických kompromisov na webe spolu s taktikou doručenia užitočného obsahu v pamäti a niekoľkými vnorenými metódami zmätenia sa táto kampaň ukázala byť mimoriadne vykonaná a nepolapiteľná, “ povedal FireEye.

Keďže však malware bez diskiet je úplne v pamäti, zdá sa, že reštartovanie počítača odstráni infekciu. Zdá sa, že útočníci nemajú obavy z toho, že sú vytrvalí, čo naznačuje, že útočníci sú „presvedčení, že ich plánované ciele by jednoducho prehodnotili kompromitovanú webovú stránku a boli znovu infikovaní, “ píšu vedci FireEye.

To tiež znamená, že útočníci sa pohybujú veľmi rýchlo, pretože sa musia pohybovať v sieti, aby dosiahli iné ciele alebo našli informácie, ktoré sú pred tým, ako používateľ reštartuje počítač a odstráni infekciu. „Akonáhle sa útočník dostane do systému a eskaluje privilégiá, môže nasadiť mnoho ďalších metód na preukázanie vytrvalosti, “ povedal Ken Westin, výskumný pracovník v oblasti bezpečnosti na Tripwire.

Vedci bezpečnostnej spoločnosti Triumfant tvrdia, že sa jedná o nárast bezdiskového škodlivého softvéru a tieto útoky označujú ako pokročilé volatilné hrozby (AVT).

Netýka sa Office Flaw

Najnovšia zraniteľnosť programu Internet Explorer v nultom dni je dôsledkom kritickej chyby v aplikácii Microsoft Office, ktorá bola hlásená aj minulý týždeň. Chyba, ako Microsoft Windows a Office pristupujú k obrázkom TIFF, nesúvisí s touto chybou programu Internet Explorer. Zatiaľ čo útočníci už využívajú chybu balíka Office, väčšina cieľov je v súčasnosti na Blízkom východe av Ázii. Používateľom sa odporúča nainštalovať balík FixIt, ktorý obmedzuje schopnosť počítača otvárať grafiku a čakať na trvalú opravu.

FireEye informoval spoločnosť Microsoft o tejto zraniteľnosti, ale spoločnosť Microsoft sa ešte k tejto chybe verejne nevyjadrila. Je neskutočne nepravdepodobné, že by sa táto chyba vyriešila včas pre zajtrajšie vydanie opravy v utorok.

Najnovšia verzia balíka Microsoft EMET, vylepšená súprava nástrojov na vylepšenie, úspešne blokuje útoky zamerané na zraniteľné miesta IE, ako aj na Office. Organizácie by mali zvážiť inštaláciu EMET. Používatelia môžu tiež zvážiť inováciu na verziu 11 prehľadávača Internet Explorer alebo používať iné prehliadače ako Internet Explorer, kým sa chyba neodstráni.

Problémy s XP

Táto najnovšia kampaň na zavlažovanie tiež zdôrazňuje, ako útočníci zacieľujú používateľov systému Windows XP. Spoločnosť Microsoft opakovane pripomenula používateľom, že po apríli 2014 prestane poskytovať aktualizácie zabezpečenia pre systém Windows XP a používatelia by mali inovovať na novšie verzie operačného systému. Výskumníci v oblasti bezpečnosti veria, že veľa útočníkov sedí v medzipamätiach zraniteľností XP a verí, že po ukončení podpory spoločnosti Microsoft pre starnúci operačný systém dôjde k vlne útokov zameraných na systém Windows XP.

„Neodkladajte - ak si ceníte svoju bezpečnosť, aktualizujte zo systému Windows XP na niečo iné čo najskôr, “ napísal Graham Cluley, nezávislý výskumný pracovník v oblasti bezpečnosti, na svojom blogu.