Toen een Amerikaans bedrijf opeens allerlei willekeurige administrator accounts zag verschijnen die aan het interne netwerk werden toegevoegd, wist het dat er iets mis was. Niet alleen wisten de aanvallers een werkstation volledig over te nemen, ook het Supervisory Control And Data Acquisition (SCADA) systeem liep uiteindelijk risico. Het begon allemaal met een e-mail die een werknemer ontving. Het bericht adverteerde een gezondheidsplan voor gezinnen met meer dan twee kinderen. De werknemer had er drie. Tevens was er een kwaadaardig .chm bestand als bijlage toegevoegd. De bijlage downloadde na geopend te zijn vervolgens aanvullende malware, waarmee aanvallers volledige toegang tot de machine hadden.

Zero-day
De computer bevond zich op hetzelfde segment als de SCADA controllers. Daar bleef het niet bij, want de aanvallers gingen van dit netwerk naar de domain controller. "Wat begon als een vreemde aanval waarbij mensen niet konden begrijpen waarom de willekeurige administrator accounts aan het interne netwerk werden toegevoegd, deed ons twee en een halve dag later realiseren dat de primaire domain controller in het systeem, wat met alle wachtwoorden en user accounts de sleutel tot het systeem is, via deze zero-day aanval gehackt was", zegt Rohyt Belani van de Intrepidus Group.

Het bedrijf onderzocht de aanval, die MS07-029 gebruikte om binnen te komen. "De aanvaller had een probleem; hij had systeemtoegang via een onbekende zero-day exploit. Maar aanvallers moeten toegang blijven houden en maken zich zorgen dat hun exploits het systeem instabiel maken of dat die gepatcht wordt. Daarom maakten ze de andere accounts aan." Uiteindelijk voerde het energiebedrijf verschillende maatregelen door, zoals het gebruik van een proxy om te voorkomen dat werknemers met willekeurige sites verbinding maken en het scheiden tussen kritieke netwerksegmenten en het internet.