Internet Explorer pozwala na wykradanie danych użytkowników, nawet kiedy nie korzystali z tej przeglądarki!

Jeden z bardziej znanych analityków, którzy szukają luk bezpieczeństwa w programach komputerowych, John Page, ujawnił właśnie nowy krytyczny błąd w Windows. Okazuje się, że Internet Explorer pozwala na wykradanie danych użytkowników systemu Windows, nawet wtedy, kiedy nie korzystamy z przeglądarki.

Jest to błąd typu „zero-day”.  W taki sposób oznaczane są błędy, na których usunięcie producent nie dostał czasu od grupy (albo dostał, ale nie wykorzystał go), która wykrywa taki błąd. Zazwyczaj takie osoby, informują firmy, że luka została znaleziona i dają im określony czas na naprawę, zanim upublicznią luki. Tutaj jednak mieliśmy do czynienia z publikacją luk, przed wprowadzeniem poprawek przez Microsoft, dzięki czemu hakerzy mogli wykorzystywać te błędy do ataków na użytkowników systemu Windows.

Według ujawnionych informacji luka pozwala zdalnie atakującym na eksfiltrację plików lokalnych, wykorzystując do tego właśnie Internet Explorer. Najbardziej przerażające w tym wszystkim jest zdanie:

„Użytkownicy systemu Windows nie muszą nawet otwierać przestarzałej przeglądarki internetowej, aby złośliwy hakerzy mogli korzystać z exploita. (…) Wystarczy, że przeglądarka istnieje na ich komputerze…”.

Hakerzy korzystają z luki w zabezpieczeniach przy plikach .MHT. Jest to format używany przez Internet Explorer do archiwów internetowych. Współcześnie przeglądarki nie korzystają już z tego formatu, więc w momencie próby uzyskania dostępu do takiego pliku, Windows domyślnie odpala Internet Explorer. W celu zainicjowania exploita wystarczy, aby użytkownik otworzył załącznik otrzymany na e-maila, jakikolwiek komunikator czy poprzez transfer plików.

Wspomniałem, że jedno z wcześniejszych zdań jest przerażające, jednak idąc dalej, dowiadujemy się chyba czegoś gorszego. Microsoft bowiem jest zdania, że „rozważy” poprawkę w przyszłej aktualizacji systemu. Według informacji Johna informował on giganta z Redmond już w marcu. Statystyki mówią, że Internet Explorer używany jest aktualnie przez mniej niż 10% internautów, jednak to nie ma większego znaczenia, gdyż jak pisałem na początku, do ataku wystarczy posiadanie przeglądarki, a nie jej używanie. Sprawa została dość mocno nagłośniona, miejmy nadzieję, że Microsoft pójdzie po rozum do głowy i opublikuje łatkę.