جديد أي يوم صفر المستخدمة في هجوم حفرة سقي أهداف الذاكرة

حذر باحثون من شركة FireEye الأمنية من أن المهاجمين يستغلون نقاط الضعف الخطيرة في برنامج Internet Explorer في هجوم يشق طريقه. يتعرض المستخدمون الذين تم خداعهم للوصول إلى موقع الويب المصاب إلى إصابة بالبرامج الضارة التي تصيب ذاكرة الكمبيوتر في هجوم كلاسيكي.

وقال فاير آي في تحليله الأسبوع الماضي إن المهاجمين قاموا بتضمين الكود الضار الذي يستغل عيبين على الأقل في اليوم صفر في برنامج Internet Explorer في "موقع إلكتروني ذي أهمية استراتيجية ، يُعرف بجذب الزوار المهتمين على الأرجح بسياسة الأمن الوطنية والدولية". لم تحدد FireEye الموقع بعد أن كان مقره في الولايات المتحدة.

وكتب الباحثون في FireEye: "يستغل الاستغلال ثغرة جديدة في تسرب المعلومات وضعف وصول ذاكرة الوصول العشوائي خارج الحدود لتحقيق تنفيذ التعليمات البرمجية". "إنها نقطة ضعف يتم استغلالها بطرق مختلفة مختلفة."

توجد الثغرات الموجودة في Internet Explorer 7 و 8 و 9 و 10 ، والتي تعمل على Windows XP أو Windows 7. بينما يستهدف الهجوم الحالي النسخة الإنجليزية من Internet Explorer 7 و 8 التي تعمل على كل من Windows XP و Windows 8 ، وقال FireEye يمكن تغييرها لاستهداف الإصدارات واللغات الأخرى.

APT متطورة بشكل غير عادي

قال FireEye إن حملة التهديد المستمر المتقدمة (APT) تستخدم بعض خوادم الأوامر والتحكم ذاتها المستخدمة في هجمات APT السابقة ضد الأهداف اليابانية والصينية ، والمعروفة باسم Operation ViceDog. وجدت هذه APT متطورة بشكل غير عادي لأنها توزع حمولة خبيثة تعمل فقط في ذاكرة الكمبيوتر ، وفقًا لما وجده FireEye. نظرًا لأنه لا يكتب نفسه على القرص ، يصعب اكتشاف الأدلة الجنائية أو العثور عليها على الأجهزة المصابة.

وقال فاير آي: "من خلال استخدام حلول الويب الاستراتيجية إلى جانب تكتيكات تسليم الحمولة في الذاكرة وطرق التشويش المتعددة المتداخلة ، أثبتت هذه الحملة أنها منجزة وبعيدة المنال".

ومع ذلك ، نظرًا لأن البرامج الضارة الخالية من الأقراص موجودة بالكامل في الذاكرة ، يبدو أن إعادة تشغيل الجهاز تؤدي إلى إزالة العدوى. وكتب الباحثون في FireEye أن المهاجمين لا يبدو أنهم قلقون بشأن ثباتهم ، مما يوحي بأن المهاجمين "واثقون من أن أهدافهم المقصودة ستعيد ببساطة زيارة الموقع الذي تعرض للخطر وإعادة إصابتها".

هذا يعني أيضًا أن المهاجمين يتحركون بسرعة كبيرة ، حيث يحتاجون إلى التنقل عبر الشبكة للوصول إلى أهداف أخرى أو العثور على المعلومات التي يتابعونها قبل قيام المستخدم بإعادة تشغيل الجهاز وإزالة العدوى. وقال كين ويستين ، الباحث الأمني ​​في تريبواير: "بمجرد دخول المهاجم وتصعيد الامتيازات يمكنه نشر العديد من الطرق الأخرى لإثبات استمراره".

زعم الباحثون في شركة الأمن Triumfant زيادة في البرامج الضارة الخالية من الأقراص ويشيرون إلى هذه الهجمات باسم Advanced Volatile Threats (AVT).

لا علاقة لخطأ المكتب

تأتي أحدث ثغرة أمنية في برنامج Internet Explorer يوم صفر في أعقاب عيب حرج في Microsoft Office تم الإبلاغ عنه أيضًا في الأسبوع الماضي. لا علاقة للخطأ في كيفية وصول Microsoft Windows و Office إلى صور TIFF إلى خلل برنامج Internet Explorer. بينما يستغل المهاجمون بالفعل أخطاء Office ، فإن معظم الأهداف موجودة حاليًا في الشرق الأوسط وآسيا. يتم تشجيع المستخدمين على تثبيت FixIt ، مما يحد من قدرة الكمبيوتر على فتح الرسومات ، أثناء انتظار التصحيح الدائم.

أخطر FireEye Microsoft بالثغرة الأمنية ، لكن Microsoft لم تعلق بشكل علني على الخلل. من غير المحتمل بشكل كبير أن يتم معالجة هذا الخطأ في الوقت المناسب لإصدار Patch Tuesday غدًا.

أحدث إصدار من Microsoft EMET ، مجموعة أدوات تجربة التخفيف المحسّنة ، يمنع بنجاح الهجمات التي تستهدف نقاط الضعف في IE ، وكذلك Office. يجب على المنظمات النظر في تثبيت EMET. يمكن للمستخدمين أيضًا التفكير في الترقية إلى الإصدار 11 من Internet Explorer ، أو استخدام متصفحات أخرى بخلاف Internet Explorer حتى يتم إصلاح الخلل.

قضايا XP

تسلط حملة الفتحات الأخيرة هذه الضوء على كيفية استهداف المهاجمين لمستخدمي Windows XP. ذكّرت Microsoft المستخدمين مرارًا وتكرارًا بأنها ستتوقف عن توفير تحديثات الأمان لنظام التشغيل Windows XP بعد أبريل 2014 ، ويجب على المستخدمين الترقية إلى إصدارات أحدث من نظام التشغيل. يعتقد الباحثون في مجال الأمن أن العديد من المهاجمين يجلسون في مخابئ لثغرات أمنية XP ويعتقدون أنه ستكون هناك موجة من الهجمات التي تستهدف Windows XP بعد أن تنهي Microsoft دعمها لنظام التشغيل القديم.

كتب غراهام كلولي ، باحث أمن مستقل ، على مدونته: "لا تؤخر - الترقية من نظام التشغيل Windows XP إلى شيء آخر في أسرع وقت ممكن إذا كنت تقدر أمانك".