Kako Internet Explorer i dalje ugrožava bezbednost vašeg računara čak i ako ga godinama niste otvorili

Vesti, 17.07.2024, 12:00 PM

Microsoft je prošle nedelje objavio zakrpe za 142 ranjivosti, među kojima su bile četiri ranjivosti nultog dana od kojih su dve već bile poznate javnosti, a druge dve su aktivno eksploatisane u hakerskim napadima.

Zanimljivo je da je jedan od ovih nultih dana, koji je korišćen za krađu lozinki u poslednjih 18 meseci, pronađen u Internet Exploreru, pretraživaču koji je Microsoft prestao da razvija još 2015.

Međutim, sa „oproštajnim“ ažuriranjem, Microsoft nije uklonio pretraživač iz sistema, već ga je samo onemogućio, pa čak i tada, ne u svim verzijama Windowsa.

U praksi, to znači da Internet Explorer još uvek vreba unutar sistema iako korisnici ne mogu da ga pokrenu kao samostalni pretraživač. Zbog toga, sve nove ranjivosti pronađene u ovom nefunkcionalnom pretraživaču i dalje mogu predstavljati pretnju za korisnike Windowsa, čak i za one koji godinama nisu otvorili Internet Explorer.

Ranjivost o kojoj je ovde reč nosi oznaku CVE-2024-38112. To je greška u MSHTML endžinu, koji pokreće Internet Explorer. Ranjivost ima ocenu 7,5 od 10 na CVSS 3 skali i „visok“ nivo ozbiljnosti.

Da bi iskoristili ranjivost, napadači moraju da naprave zlonamerni fajl koji sadrži link sa mhtml prefiksom. Kada korisnik otvori ovaj fajl, Internet Explorer, čiji sigurnosni mehanizmi nisu baš najbolji, se pokreće umesto podrazumevanog pretraživača.

Kako su napadači iskoristili CVE-2024-38112?

Napad počinje tako što se korisniku šalje .url fajl sa ikonom koja se koristi za PDF-ove i dvostrukom ekstenzijom .pdf.url. Korisniku ovaj fajl izgleda kao prečica do PDF-a, dakle, naizgled bezopasno. Ako korisnik klikne na fajl, ranjivost CVE-2024-38112 se iskorišćava. Zbog mhtml prefiksa u .url fajlu, otvara se u Internet Exploreru, a ne u podrazumevanom pretraživaču sistema.

Problem je u tome što u odgovarajućem dijaloškom okviru Internet Explorer prikazuje ime istog .url fajla koja se pretvara da je PDF prečica. Stoga je logično pretpostaviti da će se nakon klika na „Otvori“ prikazati PDF. Međutim, u stvarnosti, prečica otvara link koja preuzima i pokreće HTA fajl.

Kada se ovaj fajl pokrene, Internet Explorer prikazuje ne baš informativno upozorenje u formatu poznatom korisnicima Windowsa, koje će mnogi jednostavno odbaciti.

Kada korisnik klikne na „Dozvoli“, malver infostealer se pokreće na računaru, prikuplja lozinke, kolačiće, istoriju pregledanja, ključeve kripto novčanika i druge vredne informacije sačuvane u pretraživaču i šalje ih na server napadača.

Kako se zaštititi od CVE-2024-38112?

Microsoft je već zakrpio ovu ranjivost. Instaliranje ažuriranja osigurava da trik sa mhtml-om u .url fajlovima više neće funkcionisati, i da se takvi fajlovi otvaraju u bezbednijem pregledaču Edge.

Međutim, ovaj incident još jednom podseća da će „pokojni“ pretraživač nastaviti da proganja korisnike Windowsa još neko vreme. Zbog toga je preporučljivo da odmah instalirate sva ažuriranja vezana za Internet Explorer i MSHTML endžin, kao i da koristite pouzdana bezbednosna rešenja na Windows uređajima.

Izvor: Kaspersky

Foto: Nothing Ahead | Pexels