Специалист по защита със съвет към Microsoft

През седмицата Microsoft публикува редовния си пакет с кръпки за Windows и свързаните с операционната система продукти. Септемврийският Patch Tuesday привлече вниманието на мнозина – не само заради впечатляващия брой проблеми, които бяха адресирани – 96, но и заради това, че тук беше запушена дупка, която е използвана от киберпрестъпни групи в продължение на цели две години. Това и стана повод компанията да бъде посочена с пръст за пореден път. Критиките последваха.

Въпросният проблем – CVE-2016-3351 – засяга Internet Explorer, версии 9,10 и 11 за Windows Vista, 7, 8.1, 10 (както за 32-, така и 64-битови системи). При Windows Server 2008 и 2012, проблемът е определен като „умерен“, поради спецификата на защитните механизми на сървърните архитектури. Експлоатирането на уязвимостта позволява на атакуващата страна да приеме същите права като потребителя, да вижда и променя информация, да създава акаунт, инсталира програми и др.

Един от хората, които коментираха поведението на Microsoft спрямо дупката е специалистът по информационна защита Caffeine от Proofpoint. Той напомня, че първата атака, възползваща се от дупката е регистрирана през януари 2014г. За последно тя е използвана в мащабна малвъртайзинг атака, спряна през това лято. Първото докладване за проблема е бил отпреди година, когато Proofpoint и Trend Micro алармират Microsoft за кампанията по доставяне на зловредна реклама, банкови троянски коне, рансъмуер и друг вид зловреди. Microsoft идентифицират уязвимостта, дават и идентификационен номер и дотам. Поне две големи престъпни групи по това използват експлойт за уязвимостта, който междувременно е включен в популярен комплект за експлоатиране на уязвимости, спомагайки за автоматизираното ѝ и масово експлоатиране. Според Caffeine, използването на експлойт за CVE-2016-3351 е позволило на атакуващите страни да прикрият своите действия и по този начин броя на жертвите им да се увеличи.

„Разпространителите на заплахи все по-често експлоатират некритични за запушване бъгове и нископрофилни уязвимости, които остават месеци и години неадресирани. В този случай, групата зад AdGholas използва един такъв бъг специално с цел атаките им да бъдат незасечени от разработчиците по сигурността и автоматизираните системи, като по този начин те остават под радара, дори и при провеждането на дълготрайни малвъртайзинг операции“, пише Cafeine, според когото Microsoft и останалите доставчици на софтуер е нужно да преосмислят политиките си за приоритизиране на запушваните от тях дупки.