Ny trussel i Internet Explorer

Ny trussel i Internet Explorer

- Stygt hull, mener sikkerhetsforskere. - Slapp av, sier Microsoft.

Microsoft forsøker å tone ned trusselen i Internet Explorer (IE) som gjør at skurker kan kapre folks nettidentiteter.

Sikkerhetshullet, som så langt kun har blitt diskutert uten at spesifikke detaljer er avslørt, er det den italienske sikkerhetsforskeren Rosario Valotta som har avdekket. Han kaller angrepet cookie-kapring, skriver Computerworlds nyhetstjeneste.

Det som er kjent om hullet er at Valotta har kombinert et ulappet hull i IE, en såkalt zeroday-sårbarhet som det heter på fagspråket, med en form for klikkapring. Konsekvensen er at han kan stjele ofrenes såkalte cookies, på norsk kjent som informasjonskapsler, ved å lure dem.

Konto-kapring

En informasjonskapsel er en liten fil som lagres lokalt på pc-en din og som for eksempel gjør at sider som Gmail.com og Facebook.com husker at du er logget inn. Ved å kapre informasjonskapselene kan angripere få tilgang til kontoene eller til og med potensielt utgi seg for å være ofrene i kommunikasjon mot sikrede sider som nettbanker og nettbutikker.

Valotta demonstrerte angrepene på to sikkerhetskonferanser i Zurich og Amsterdam tidligere denne måneden.

Jeremiah Grossman fra Whitehat Security og Robert Hansen demonstrerte for første gang klikkapring for et par år siden. Grossman beskriver Valuttas variant som «smart» og tror angripere kan bruke cookie-kapring som et alternativ der andre tilsvarende angrepsmetoder ikke gjør nytten.

- Ikke så farlig

Microsoft mener på sin side at cookie-kapring ikke er noe å bekymre seg så veldig for.

- Gitt nivået av interaksjon fra brukeren som må til, er ikke denne saken noe vi anser som høyrisiko, sier Jerry Bryant fra Microsoft Security Response Center.

- For å bli et vellykket angrep må brukeren besøke en ondsinnet nettside og bli overtalt til å klikke og dra enheter rundt på siden for at angriperen skal få tilgang til en spesifikk informasjonskapsel til en nettside der brukeren var pålogget.

Grossman mener Microsoft tar for lett på saken.

- Jeg mener de tar feil. Som mange angrepsteknikker forbeholdt de innvidde, vil de tone ned trusselen til de ser den blir brukt i stor skala. Egentlig er det et enkelt angrep, men siden det ikke er teknisk vanskelig sier Microsoft at det «ikke er noe nytt å se her».

Vakre damer som agn

Angrepet Valotta brukte for å demonstrere teknikken gikk ut på å lage et Facebook-spill som lokket brukerne med enkle puslespill av smekre kvinnfolk, og klarte på denne måten å sanke inn dusinvis med informasjonskapsler fra intetanende Facebook-brukere.

- Jeg publiserte spillet på Facebook, og innen tre dager hadde mer enn 80 informasjonskapsler blitt sendt til min server, har Valotta fortalt til Reuters.

Det de intetanende brukerne ikke visste var at de ved å dra rundt på disse puslespillbitene også dro informasjonskapsler til en spesifikk plass på skjermen der et klikkapringsangrep kopierte dataene og sendte dem til Valotta. Dataene i informasjonskasplene ligger nemlig skjult bak biten som flyttes.

For mer teknisk detaljert informasjon om angrepet, ta en titt på sikkerhetsforskerens blogg.

Italieneren bedyrer at alle IE-versjoner på alle Windows-versjoner er sårbare for cookie-kapring. Microsoft kommer ikke til å sende ut hasteoppdatering for å fikse hullet.

- Vi ser heller ikke at angrepet brukes aktivt på noen som helst måte, sett bortsett fra demonstrasjonen på Hack in the Box-konferansen, sier Bryant, og sikter til sikkerhetskonferansen i Amsterdam.