Aanvallers die Google en 33 andere bedrijven hackten, gebruikten een nieuw lek in Internet Explorer voor hun aanval. Deze week liet Google weten dat aanvallers toegang tot het bedrijfsnetwerk hadden gekregen. Naast de strenger wordende censuur reden voor de zoekgigant om te dreigen met een vertrek uit China. Volgens McAfee, dat de aanval Aurora noemt, zijn er in tegenstelling tot eerdere berichten geen aanwijzingen dat er een zero-day beveiligingslek in Adobe Reader is gebruikt. Eerder werd aangenomen dat de aanvallers via een lek in de populaire PDF-lezer waren binnengekomen. Toch houdt het beveiligingsbedrijf de mogelijkheid open dat het om een "cocktail" van zero-day lekken gaat. De naam Aurora is afkomstig van het bestandspad op de machine van de aanvallers dat ook aan twee van de gebruikte malware exemplaren werd toegevoegd.

Kroonjuwelen
McAfee is onder de indruk van de zeer gecoördineerde aanval. "Operatie Aurora heeft het cyberdreigingslandschap weer veranderd. Deze aanvallen demonstreren dat bedrijven in alle sectoren een lucratief doelwit zijn." Niet alleen zijn veel bedrijven volgens McAfee's George Kurtz kwetsbaar, het geeft aanvallers ook toegang tot hun intellectueel eigendom. "De malware liet de aanvallers stilletjes de kroonjuwelen van veel bedrijven stelen terwijl mensen van hun december vakantie aan het genieten waren."

De chief technology officer vermoedt dat de aanvallers bewust voor december kozen om zo detectie te beperken. "Het dreigingsmodel van iedereen moet aan de realiteit van deze nieuwe aanvallen worden aangepast." Het gaat niet alleen meer om creditcardgegevens, maar ook intellectueel eigendom en andere waardevolle informatie. Kurtz verwacht nog meer schokkend nieuws te onthullen. "Dit is pas het topje van de ijsberg."

Internet Explorer zero-day beveiligingslek
De kwetsbaarheid waardoor de aanvallers Google wisten binnen te dringen bevindt zich in alle versies van de browser en op alle platformen. Voor zover bekend is de aanval via Internet Explorer 6 en een kwaadaardige website uitgevoerd. Internet Explorer 8 in combinatie met Data Execution Prevention (DEP) voorkomt de aanval. Toch houdt Microsoft de mogelijkheid open om een noodpatch uit te brengen. Volgens de softwaregigant is de aanval alleen bij zeer gerichte aanvallen ingezet, maar moeten ook andere bedrijven hier rekening mee houden.

"Complexe aanvallen die op specifieke bedrijfsnetwerken zijn gericht komen vaker voor in het dreigingslandschap", zegt Mike Reavey van het Microsoft Security Response Center (MSRC). Hij merkt op dat de Protected Mode in IE 7 op Windows Vista en later de mogelijkheden van een aanvaller beperkt. Gebruikers zouden daarnaast ook Data Execution Prevention (DEP) moeten inschakelen.

Trojaans paard
De aanval zelf werd gelanceerd via JavaScript code die het zero-day lek in Internet Explorer misbruikte, aldus Craig Schmugar van McAfee. Zodra het systeem was geïnfecteerd, installeerde de exploit een bestand van een website die inmiddels offline is gehaald. Dit bestand installeerde weer een remote access Trojan (RAT), die zich tijdens het starten van Windows laadde. De malware nam ook contact op met een remote server, waardoor de aanvaller toegang tot het besmette systeem had. Schmugar bevestigt dat de exploit niet werkt als DEP is ingeschakeld.

Update 9:35
Naast mogelijk Yahoo, Symantec, Northrop Grumman en Dow Chemical, zou ook netwerkgigant Juniper gehackt zijn. Het bedrijf wil een aanval niet ontkennen of bevestigen.

Update 9:53
Om detectie van de malware op het bedrijfsnetwerk te voorkomen gebruikten de aanvallers encryptie, dat zegt McAfee tegenover Wired. "We hebben nog nooit encryptie op dit niveau gezien. Het was zeer geraffineerd", aldus Dmitri Alperovitch, vice president threat research. Hoe de Google-werknemer op de kwaadaardige pagina terechtkwam wordt nog uitgezet. Dit zou via e-mail,
Instant Messaging of Facebook gebeurd kunnen zijn.

Uiteindelijk werden er een dozijn malware exemplaren op het systeem geplaatst. Eén van deze kwaadaardige programma's opende een backdoor en een versleuteld "covert channel", dat zich als een SSL-verbinding voordeed om detectie te voorkomen. De besmette computer werd vervolgens als springplank voor aanvallen op de rest van Google's bedrijfsnetwerk gebruikt. Net als Kurtz bevestigt Alperovitch dat McAfee over informatie beschikt die het nog niet mag prijsgeven.

Zodra nieuwe ontwikkelingen bekend worden, zullen we dit bericht updaten.