Za napade na 0-day ranjivost u Internet Exploreru odgovorne dve hakerske grupe

Vesti, 20.02.2014, 07:20 AM

Dve odvojene grupe hakera koriste istu nezakrpljenu ranjivost u Internet Explorer-u, sa skoro identičnim napadačkim kodom, tvrde istraživači.

Napade na pomenutu ranjivost najpre su prošle nedelje uočili stručnjaci firme FireEye a drugu kampanju napada otkrio je Websense.

FireEye je uočio napade čije su mete, kako se pretpostavlja, aktuelno i bivše osoblje američke vojske, odnosno oni koji su posećivali web sajt američkih ratnih veterana (Veterans of Foreign Wars, vfw.org).

U međuvremenu je i kompanija Websense upozorila da se exploit koji su otrkili stručnjaci kompanije nalazi na lažnom web sajtu francuskog udrženja avio industrije (GIFAS, Groupement des Industries Francaises Aeronautiques et Spatiales). GIFAS je poznat javnosti kao sponzor pariskog sajma vazduhoplovstva na kome proizvođači civilnih i vojnih letelica izlažu svoje najnovije proizvode.

Istraživači Websense su zaključili da je moguće da je reč o istoj grupi koja je kompromitovala američki sajt vfw.com.

Međutim, stručnjaci firme Seculert koji su takođe analizirali napade došli su do drugačijeg zaključka. Prema njihovom mišljenju, grupa koja je zloupotrebila sajt američkih veterana u operaciji nazvanoj SnowMan je ona koja je odgovorna za starije kampanje napada kao što su Deputy Dog i Ephemeral Hydra.

Sa druge strane, analiza Seculert-a ukazuje da bi napadi na GIFAS mogli biti delo druge grupe hakera koji koriste isti 0-day exploit. U Seculert-u pretpostavljaju da su dve hakerske grupe verovatno kupile kod za napad od istog prodavca na crnom tržištu jer su exploit-i skoro identični.

Stručnjaci smatraju da malver koji se koristi u SnowMan napadima, ZXShell, nije isti malver koji se koristi u napadima na francusku avio industriju. Taj drugi malver je dizjaniran za krađu informacija, preuzimanje drugih malvera i deluje kao backdoor ili RAT (Remote Access Trojan).

Najmanje je četiri razloga zbog kojih stručnjaci veruju da je reč o dve grupe hakera: različiti malveri, različiti serveri za komandu i kontrolu, jedna grupa koristi dinamičke DNS servise a druga sopstvene domene, a četvrti razlog je činjenica da se koriste različiti malveri za sprovođenje iste vrste napada.

Microsoft je potvrdio da i IE9 i IE10 sadrže ranjivost ali kompanija još uvek nije predložila privremene mere za zaštitu, što obično prethodi objavljivanju zakrpe. Umesto toga, Microsoft je pozvao korisnike da nadograde browser i pređu na IE11, koji je otporan na napade.