O atakach za pośrednictwem nieznanej wcześniej luki w IE pisaliśmy na początku tego miesiąca. Szczegółowe omówienie podatności można znaleźć m.in. w serwisie securelist.com (po rosyjsku).
W skrócie - atakujący umieścili na nieszkodliwej stronie internetowej kod napisany w języku JavaScript, który w pierwszej kolejności sprawdzał wersję Internet Explorera i ustawiony w systemie język (skrypt wymagał angielskiego, chińskiego, koreańskiego, japońskiego albo rosyjskiego). Następnie pobierał z sieci plik xsainfo.jpg, który po zdekodowaniu okazywał się złośliwą biblioteką DLL, wykrywaną przez rozwiązania antywirusowe jako Backdoor.Win32.Gulpix.a.

Fragment specjalnie spreparowanej grafiki (źródło: securelist.com)

Kolejnym etapem było odtworzenie za pomocą Flash Playera pliku today.swf, który działał jako „zapełniacz” pamięci i odwracał uwagę od innego pliku - news.html (wykrywanego jako HEUR:Trojan.Script.Generic). Ten z kolei ładował z sieci plik robots.txt i wypełniał zawarte w nim instrukcje. Według serwisu ArsTechnica atak został przygotowany przez Elderwood Gang, któremu w 2010 r. udało się przełamać zabezpieczenia Google'a i 34 innych firm. Exploit błyskawicznie dodano do Metasploita - pakietu narzędzi ułatwiających analizowanie zabezpieczeń systemu.

Jak już wspominaliśmy, Microsoft opublikował narzędzie FixIt, które miało tymczasowo naprawić podatność. Okazało się jednak, że nie zapobiega ono wszystkim możliwościom ataku, o czym tydzień temu poinformował Brandon Edwards z firmy Exodus Intelligence.

Od poniedziałku, na szczęście, dostępna jest już pełnowartościowa poprawka łatająca omówioną wyżej lukę - patch można pobrać bezpośrednio ze strony Microsoftu lub używając mechanizmu Windows Update. Jak wynika z nowo wydanego biuletynu zabezpieczeń, oznaczonego numerem MS13-008, łatkę powinni zainstalować użytkownicy starszych wersji Internet Explorera (6, 7 i 8) działających pod kontrolą dowolnej edycji Windowsa. Warto to zrobić, nawet jeżeli na co dzień nie używa się przeglądarki Microsoftu. Zdarza się bowiem, że inne - potrzebne nam - oprogramowanie wykorzystuje komponenty Internet Explorera. Jeżeli jest taka możliwość, należy zaktualizować IE do wersji 9 lub 10.

Przy okazji przypominamy o wciąż niezałatanej luce, występującej także w nowszych wersjach tej przeglądarki - zob. Wirtualna klawiatura bezpieczniejsza od tradycyjnej? Nie, jeśli używasz IE.