سوء‌استفاده‌ی نفوذگران چینی از آسیب‌پذیری روزصفرم جدید IE

پژوهش‌گران FireEye پس از آن‌که کشف کردند آسیب‌پذیری Zero Day جدید IE به طور گسترده‌ای مورد سوء‌استفاده قرار گرفته، اعلام داشتند که این حمله‌ی watering hole به احتمال خیلی زیاد توسط گروه نفوذگر چینی انجام شده که پیش از این عملیات DeputyDog و حمله به Bit9 را ترتیب داده بودند.

این وب‌گاه watering hole که میزبان کد مخرب است، در آمریکا واقع شده و تروجان دسترسی از راه دوری را درون رایانه‌ی بازدیدکنندگان رها می‌سازد. این کد مخرب به عنوان گونه‌ای از Trojan.APT.9002 (که نام دیگرش Hydraq/McRAT می‌باشد) شناسایی شده و صرفاً در حافظه اجرا می‌گردد. از این رو هیچ آثاری برای شناسایی و تشخیص در سامانه‌های آلوده باقی نمی‌گذارد. به عبارت دیگر این بدافزار بر روی دیسک نوشته نمی‌شود؛ پای‌لود مربوطه کدپوسته‌ای(shellcode) است که رمزگشایی شده و پس از نفوذ موفق، مستقیماً درون حافظه تزریق می‌گردد. به این ترتیب این تروجان راه دور چندان پایدار نیست و با یک راه‌اندازی مجدد از سامانه حذف می‌گردد. از این رو به اعتقاد پژوهش‌گران، یا افراد نفوذگر اطمینان دارند که اشخاص قربانی اغلب از وب‌گاه مربوطه بازدید می‌کنند و مجدداً دچار آلودگی می‌شوند یا احتمالاً بازه‌ی زمانی کوتاهی را برای دسترسی خود به سایر سامانه‌های سازمان کافی می‌دانند.

به گفته‌ی این پژوهش‌گران زیرساخت کنترل و فرمان‌دهی مورد استفاده در این کمپین همان زیرساخت کمپین DeputyDog است. Bit9 نیز اشاره کرد که تروجان Hydraq/McRAT در حمله به شبکه‌های این شرکت مورد استفاده قرار گرفته بود.

پژوهش‌گران انتظار دارند که این گروه نفوذی کمپین‌های جدیدی را در آینده به راه بیندازد.
مایکروسافت در اطلاعیه‌ی خود اصلاحیه‌ی IE را بحرانی خواند؛ چرا که این اصلاحیه مربوط به خطاهایی است که منجر به اجرا کد از راه دور می‌شود. این ارزیابی بحرانی مربوط به نسخه‌ی ۶ تا ۸ IE در ویندوز ایکس‌پی، نسخه‌ی ۷ تا ۹ IE در ویستا، نسخه‌ی ۸ تا ۱۰ IE در ویندوز ۷ و نسخه‌ی ۱۰ IE در ویندوز ۸ و ۸٫۱ است؛ میزان خطر سایر نسخه‌ها «مهم» ارزیابی شد.

این آسیب‌پذیری روز جمعه توسط پژوهش‌گران FireEye گزارش شد و در حال حاضر نقاط دیگری مرتبط با آن کشف شده که نشان می‌دهد پای گونه‌ای از تروجان McRAT در میان است؛ این تروجان پیش‌تر در تعدادی از حملات جاسوسی هدفمند به بخش‌های صنعتی مورد استفاده قرار گرفته بود.

اما ظاهراً اصلاحیه‌ی ماه نوامبر مایکروسافت شامل هیچ اصلاحیه‌ای برای آسیب‌پذیری Zero Day TIFF در ویندوز نخواهد بود؛ همان‌طور که در خبرهای پیشین اشاره کردیم این آسیب‌پذیری عمدتاً در حمله به پاکستان مورد استفاده قرار گرفته است. از این رو مایکروسافت همچنان به کاربران توصیه می‌کند تا عرضه‌ی به‌روز‌رسانی از ابزار Fix-It ارائه شده استفاده کنند.