Met Web Attacks Toenemend, Microsoft Fixes IE Bug

Beveiligingsexperts zeggen dat Websurfers zouden onmiddellijk een nieuwe bug-fix moeten installeren voor Microsoft's Internet Explorer-browser, die woensdagochtend werd vrijgegeven.

Het gebrek, dat iets meer dan een week geleden per ongeluk door Chinese veiligheidsonderzoekers openbaar werd gemaakt, is in een groeiend aantal internetten gebruikt -aanvallen van de afgelopen dagen. Criminelen hebben een aanslagcode gepost die deze fout tot nu toe op duizenden websites misbruikt, aldus Rick Howard, inlichtingendirecteur bij de iDefense-groep van Verisign. Verisign heeft nu zes varianten van de aanvalsoftware gezien, die allemaal proberen Chinese online gamingreferenties te stelen.

Vaak wordt de aanval gestart via een verborgen iFrame-component die heimelijk op een website wordt geplaatst. Verisign heeft zelfs een dergelijke iFrame-aanval op de website van een legitieme financiële instelling opgemerkt, zei Howard. "Het volume van iFrames die dit ding inzetten is erg hoog."

[Lees meer: ​​Hoe malware van uw Windows-pc te verwijderen]

Het probleem zit hem in de manier waarop de gegevensbindende functie van Internet Explorer werkt, zei Microsoft. Wanneer de browser wordt aangevallen, zal deze crashen, waardoor het geheugen van de computer wordt beschadigd en waardoor de crimineel ongeautoriseerde software kan uitvoeren. Omdat Internet Explorer door ongeveer 70 procent van de internetgebruikers wordt gebruikt, zal deze aanvalscode waarschijnlijk worden weergegeven in veelgebruikte kwaadaardige software toolkits "heel snel", zei Howard.

Andere beveiligingsbedrijven waren het eens met de beoordeling van Verisign. "Microsoft's nieuwste IE out-of-band patch-release moet meteen worden geïnstalleerd", zei Shavlik Technologies in een verklaring. "Het aantal geïnfecteerde websites groeit in een alarmerend tempo - zelfs mensen die legitieme websites bezoeken, worden met deze exploit gehackt."

De fout is zo ernstig dat Microsoft de ongebruikelijke stap heeft genomen om zijn beveiligingsfix weken voor op schema. Doorgaans geeft Microsoft slechts eenmaal per maand beveiligingspatches uit om het leven van systeembeheerders te vereenvoudigen. De volgende reeks updates is gepland voor 13 januari.

Criminelen kunnen ook aanvallen via e-mail uitvoeren door slachtoffers kwaadwillig gecodeerde HTML-documenten te sturen, hoewel dit type aanval niet is gemeld. Microsoft-patch is voor gebruikers van IE-versie 5 en hoger.