A sérülékenységet október elején publikálták, rá néhány napra egy hazai blogon is megjelent a hír, és ezután mindössze 2 hét kellett ahhoz, hogy a nyilvános sérülékenységre írt kártevő felbukkanjon.
Ártatlan kérdésből vírusfertőzés
Ez az új típusú fenyegetés a Windows alkalmazásai közötti adatcserét lebonyolító Dynamic Data Exchange (DDE) protokollt használja. A DDE protokoll üzeneteket közvetít azon alkalmazások között, melyek adatokat osztanak meg, illetve a közös memóriát használják az adatok megosztására. Az alkalmazások ezt a protokollt egyszeri adatátadásra és folyamatos adatcserére is használhatják, amikor az alkalmazások frissítést küldenek egymásnak új adatok érkezésekor.
[extracode type=”ad” id=”in_post_trendextra” data=”117″]
Ez az adatcsere úgy indul, hogy az adatot kérő alkalmazás elindítja az adatot szolgáltató alkalmazást. Ezt a lehetőséget használja ki ez az új kártevő, mely e-mail csatolmányként érkezik, és miután nem makrókkal történik az alkalmazás elindítása, ki tudja kerülni a makrókat tartalmazó csatolmányokat szűrő rendszereket, ezért nagy valószínűséggel meg is érkezik a postafiókba.
A kártevő lefuttatásához így is szükséges felhasználói beavatkozás, azonban a Windows megnyíló párbeszédablaka nem figyelmeztetés, csak egy ártatlan kérdésnek tűnik. Arra kérdez rá, hogy a csatolt dokumentumban található mezőket frissítheti-e külső forrásból. Ha erre a felhasználó igennel válaszol, a fertőzés megtörténik.
Az ilyen támadásokat, amikor egy frissen publikált és még ki nem javított sérülékenységet használ ki egy kártevő, a szakma nulladik napi támadásnak hívja. Védekezni ellene hagyományos, feketelistás szűrésen alapuló vírusírtó szoftverekkel nem lehet, hiszen éppen ezek megelőzése a kártevő célja. A megoldást a szoftverek viselkedését folyamatosan megfigyelő és osztályozó, adaptív rendszerek jelentik.
[extracode type=”ad” id=”in_post”]
A megoldásról
Az újgenerációs támadások ellen új védelmi technológiákkal lehet hatékonyan védekezni. Az előrejelzések szerint egyre több cég használ EDR (Endpoint Detection and Response) kiegészítő védelmi technológiát, mert a napjainkban egyre terjedő, hatalmas károkat okozó új típusú kártevők (zsarolóvírusok, nulladik napi támadások stb.) ellen szinte lehetetlen ezen technológia nélkül védekezni. A Gartner oldalán megtekintheti, hogy kik vannak jelen jelenleg ezen a piacon és milyen értékeléseket kapnak azoktól, akik már használják ezeket a megoldásokat.
Az élmezőnyben ott az Adaptive Defense is, mely elmondhatja magáról, hogy például a legutóbbi nagyobb támadás, a Bad Rabbit alkalmával is frissítés nélkül védte meg a felhasználókat. Mindez az EDR létjogosultságát alátámasztja.
Általánosságban azonban elmondható, hogy a piac lassabban reagál, mint amilyen gyorsan a legjobb megoldások kijönnek, így még sokan mindig nem e megfelelő megoldást választják adataik védelmére. Az adatok eközben egyre nagyobb értéket képviselnek mind a cégek, mind az egyéni felhasználók és mind a hekkerek számára.
