Ataque Zero-Day diferenciado ultrapassa segurança do Internet Explorer

Invasores utilizaram respeitadas funcionalidades de segurança da Microsoft para promover ataques direcionados através de vulnerabilidades, até então, desconhecidas dentro do Internet Explorer.  A fabricante explica que a ameaça abrange as versões 6, 7 e 8 de seu navegador, e que os ataques foram feitos via o IE8. Depois de, primeiramente publicar um alerta sobre o bug há alguns dias, a empresa divulgou uma correção temporária, mas ainda trabalha em um patch completo.

Assine a Newsletter do IT Web

Siga o IT Web no Twitter

Curta, no Facebook, a Fan Page do IT Web

Pesquisadores da área de segurança indicam que, possivelmente, as invasões foram promovidas por ciberespiões da China, com foco em sites do Conselho de Política Externa, bem como da Capstone Turbine Corporation.

Além do drama de um ataque Zero-Day de Ano Novo, as explorações indicam ainda um tipo diferente de APT (Advanced Persistent Threat, ou ameaça persistente e avançada), normalmente utilizadas em ataques direcionados em um contexto de espionagem industrial. A mudança no formato é que esta investida empregou técnicas do tipo drive-by (no qual o usuário é incentivado a baixar links e códigos maliciosos) em websites.

Segundo os especialistas, este não é o seu ataque spearphishing típico de APT, para o qual o método utilizado é usar e-mails para enganar usuários associados, de alguma forma, às organizações-alvo. Com este novo case de ação, os invasores envenenam sites que seus alvos em potencial costumam visitar frequentemente, com o objetivo de infectá-los e conseguir, desta forma, acesso à rede corporativa.

“É muito similar com o que vimos no passado, de plantar uma exploração e um malware em um site benigno”, disse  Jaime Blasco, gerente do AlienVault Labs. Blasco considera que a vulnerabilidade no IE8 aparenta ser uma falha do tipo “use-after-free”.

A Microsoft descreve o bug como uma vulnerabilidade de execução de código remoto. Tem ligação com “a forma que o Internet Explorer acessa qualquer objeto na memória que foi apagado ou que não tenha sido alocado apropriadamente. A vulnerabilidade pode corromper a memória de tal forma que permite ao invasor  executar códigos arbitrários no contexto do usuário atual do Internet Explorer”, de acordo com o aviso emitido pela empresa. “Um invasor poderia promover um website especialmente criado projetado para explorar esta vulnerabilidade através do Internet Explorer e, então, convencer um usuário a visitar o endereço.”