IE exploit distribuuje škodlivý software PlugX, výzkumníci říkají

Výzkumníci z prodejce zabezpečení AlienVault identifikovali variantu nedávno zjištěného zneužívání aplikace Internet Explorer, který se používá k infikování cílených počítačů pomocí programu Trojan (RAT) PlugX pro vzdálený přístup

Nově objevená varianta exploit se zaměřuje na stejnou bezproblémovou zranitelnost v IE 6, 7, 8 a 9 jako původní exploit, ale používá mírně odlišný kód a má jinou užitečnou zátěž, řekl manažer AlienVault Labs Jaime Blasco v úterý na blogovém příspěvku

První exploit byl nalezen během víkendu na známém škodlivém serveru výzkumným pracovníkem bezpečnosti Eric Romang a distribuován Poison Ivy RAT. Druhá exploitovaná verze objevená výzkumníky společnosti AlienVault byla nalezena na jiném serveru a nainstaluje mnohem novější program RAT nazvaný PlugX.

[Další informace: Jak odstranit malware z počítače se systémem Windows]

oba servery naznačují, že oba verze exploitu byly používány nejméně od 14. září.

"Víme, že skupina aktivně využívající malware PlugX také nazývaný Flowershow měl přístup k aplikaci Internet Explorer ZeroDay [zneužívat cílení na chybu bez opravy] dní před tím, než byla odhalena, "řekl Blasco. "Vzhledem k podobnosti nového objeveného kódu zneužití a objevu objevovaného před několika dny je velmi pravděpodobné, že stejná skupina je za oběma případy."

Výzkumníci společnosti AlienVault sledovali útoky, které používají PlugX RAT již od počátku tohoto roku. Na základě cesty k ladění souborů, které se nacházejí uvnitř škodlivého softwaru, se domnívá, že relativně nová RAT byla vyvinutá čínským hackerem známým jako WHG, který měl dřívější vazby se známým čínským hackerovým sdružením Network Crack Program Hacker (NCPH). > Výzkumní pracovníci společnosti AlienVault také identifikovali dvě další webové stránky, které sloužily v minulosti k využití nové technologie IE, ale od nich nebylo možné získat užitečné zatížení, uvedl Blasco. Jeden z nich byl zpravodajský server pro obranu z Indie a druhý byl pravděpodobně falešnou verzí 2. světového profesionálního webového portálu Symposium LED, řekl. (Také viz "Škodlivé webové aplikace: jak je poznat, jak je porazit.")

"Zdá se, že kluci za tento den byli zaměřeni na konkrétní odvětví," řekl Blasco.

Server, kde původní IE využívají byl nalezen také uložen exploit pro unpatched Java zranitelnost minulý měsíc. Tato exploitace Java byla použita v útokech, které bezpečnostní vědci připisovali čínské hackerové skupině nazvané "Nitro."

Společnost Microsoft již vydala bezpečnostní poradenství týkající se nové zranitelnosti IE a doporučuje dočasná řešení pro zmírnění rizika, i když funguje na patch