Jauna, ti, nulles diena, ko izmanto laistīšanas cauruma uzbrukumā, mērķē atmiņu

Uzbrucēji izmanto nopietnu Internet Explorer ievainojamību dzirdināšanas cauruma uzbrukumā, brīdināja drošības firmas FireEye pētnieki. Lietotājiem, kas piekrāpti piekļuvei inficētajai vietnei, tiek pielietota ļaunprātīga programmatūra, kas klasiskā brauciena laikā inficē datora atmiņu.

Uzbrucēji ir iekodējuši ļaunprātīgo kodu, kas Internet Explorer vismaz divas nulles dienas nepilnības izmanto par "stratēģiski svarīgu vietni, kas, kā zināms, piesaista apmeklētājus, kuri, iespējams, ir ieinteresēti nacionālajā un starptautiskajā drošības politikā", savā pagājušās nedēļas analīzē sacīja FireEye. FireEye vietni neidentificēja tikai tāpēc, ka tā atradās Amerikas Savienotajās Valstīs.

"Ekspluatācija izmanto jaunu informācijas noplūdes ievainojamību un IE atmiņas piekļuves neaizsargātību, lai panāktu koda izpildi, " rakstīja FireEye pētnieki. "Tā ir viena neaizsargātība, kas tiek izmantota dažādos veidos."

Ievainojamības ir Internet Explorer 7, 8, 9 un 10, kas darbojas operētājsistēmā Windows XP vai Windows 7. Lai gan pašreizējais uzbrukums ir paredzēts Internet Explorer 7 un 8 versijai angļu valodā, kas darbojas gan Windows XP, gan Windows 8, tā izmantošana varētu jāmaina, lai mērķētu uz citām versijām un valodām, sacīja FireEye.

Neparasti izsmalcināts APT

FireEye sacīja, ka šajā uzlabotajā pastāvīgo draudu (APT) kampaņā tiek izmantoti daži no tiem pašiem komandu un vadības serveriem kā tie, kas tika izmantoti iepriekšējos APT uzbrukumos pret Japānas un Ķīnas mērķiem, kas pazīstami kā operācija ViceDog. Šis APT ir neparasti izsmalcināts, jo tas izplata ļaunprātīgu kravas daudzumu, kas darbojas tikai datora atmiņā, atklāja FireEye. Tā kā tas neraksta sevi uz diska, inficētajās mašīnās ir daudz grūtāk atklāt vai atrast kriminālistikas pierādījumus.

"Izmantojot stratēģiskos kompromisus tīmeklī, kā arī kravas ielādēšanas taktiku atmiņā un vairākas neskaidras ligzdošanas metodes, šī kampaņa ir izrādījusies ārkārtīgi veiksmīga un nenotverama, " sacīja FireEye.

Tomēr, tā kā ļaunprātīga programmatūra bez diska ir pilnībā palikusi atmiņā, šķiet, ka infekcijas noņemšanai vienkārši jāpārstartē mašīna. Liekas, ka uzbrucēji neuztraucas par neatlaidību, kas liek domāt, ka uzbrucēji ir "pārliecināti, ka viņu paredzētie mērķi vienkārši atkārtoti apmeklēs apdraudēto vietni un tiks atkārtoti inficēti", rakstīja FireEye pētnieki.

Tas arī nozīmē, ka uzbrucēji pārvietojas ļoti ātri, jo viņiem ir jāpārvietojas pa tīklu, lai sasniegtu citus mērķus vai atrastu informāciju, kāda viņi ir, pirms lietotājs atsākina mašīnu un noņem infekciju. "Tiklīdz uzbrucējs nokļūst un saasinās privilēģijas, viņi var izmantot daudzas citas metodes, lai izveidotu neatlaidību, " sacīja Tripvire drošības pētnieks Kens Vestins.

Drošības kompānijas Triumfant pētnieki ir apgalvojuši, ka ir palielināts bez disku ļaunprātīgas programmatūras lietojums, un atsaucas uz šiem uzbrukumiem kā uzlabotajiem nepastāvīgajiem draudiem (AVT).

Nav saistīts ar Office Flaw

Jaunākā Internet Explorer nulles dienas ievainojamība rodas uz kritiskas nepilnības Microsoft Office, kas arī tika ziņots pagājušajā nedēļā. Kļūda, kādā Microsoft Windows un Office piekļūst TIFF attēliem, nav saistīta ar šo Internet Explorer kļūdu. Kaut arī uzbrucēji jau izmanto Office kļūdu, lielākā daļa mērķu šobrīd atrodas Tuvajos Austrumos un Āzijā. Lietotāji tiek mudināti instalēt FixIt, kas ierobežo datora iespējas atvērt grafiku, gaidot pastāvīgu ielāpu.

FireEye ir paziņojis Microsoft par ievainojamību, taču Microsoft vēl nav publiski komentējis šo trūkumu. Ir ārkārtīgi maz ticams, ka šī kļūda tiks savlaicīgi novērsta līdz rītdienas Patch otrdiena izlaišanai.

Jaunākā Microsoft EMET versija, Enhanced Mitrition Experience Toolkit, veiksmīgi bloķē uzbrukumus, kas vērsti gan uz IE, gan uz Office ievainojamībām. Organizācijām jāapsver EMET instalēšana. Lietotāji var arī apsvērt jaunināšanu uz Internet Explorer 11. versiju vai izmantot pārlūkprogrammas, kas nav Internet Explorer, līdz kļūda ir novērsta.

XP jautājumi

Šī jaunākā laistīšanas cauruma kampaņa arī uzsver, kā uzbrucēji mērķē uz Windows XP lietotājiem. Microsoft vairākkārt atgādināja lietotājiem, ka pēc 2014. gada aprīļa pārtrauks Windows XP drošības atjauninājumu sniegšanu, un lietotājiem vajadzētu jaunināt uz jaunākām operētājsistēmas versijām. Drošības pētnieki uzskata, ka daudzi uzbrucēji sēž uz XP ievainojamības kešatmiņas, un uzskata, ka pēc uzbrukuma viļņiem, kas vērsti uz Windows XP, pēc tam, kad Microsoft izbeigs novecojošās operētājsistēmas atbalstu.

"Nekavējieties - pēc iespējas ātrāk jauniniet operētājsistēmu Windows XP uz kaut ko citu, ja novērtējat savu drošību, " savā emuārā rakstīja neatkarīgais drošības pētnieks Grehems Klulejs.