Eindgebruikers en bedrijven doen er verstandig aan direct te stoppen met het gebruik van Internet Explorer, zo waarschuwt het Federaal Bureau voor Veiligheid in de Informatietechnologie (BSI). De BSI geeft de waarschuwing vanwege het zero-day beveiligingslek in Microsoft's browser, dat gebruikt is om bij Google en 33 andere bedrijven in te breken. Gisteren publiceerde Microsoft al een advisory waarin het verklaart dat Internet Explorer 6, 7 en 8 kwetsbaar zijn. Daarnaast geeft het tips en adviezen om de ernst van het lek te beperken.

Dat is volgens het BSI niet voldoende. "Het draaien van Internet Explorer in 'protected mode' alsmede het uitschakelen van Active Scripting maakt de aanval moeilijker, maar kan die niet helemaal voorkomen. Daarom adviseert de BSI om naar een alternatieve browser over te stappen totdat Microsoft met een patch komt." De overheidsinstantie verwacht dat het lek in korte tijd voor meer aanvallen zal worden gebruikt. Als het lek is gedicht publiceert het BSI aanvullende informatie over wat internetgebruikers kunnen doen. Die hoeven met IE alleen naar een kwaadaardige of gehackte website te surfen om besmet te raken.

Exploitcode
Om hackers en security professionals de kwetsbaarheid eenvoudiger te laten gebruiken, is die ook aan populaire hackertool Metasploit toegevoegd. Metasploit bedenker H.D. Moore laat weten dat Data Execution Prevention (DEP) de Metasploit module blokkeert. DEP staat standaard in IE 8 ingeschakeld. Toch verwacht Symantec meer misbruik door cybercriminelen. "Beschikbaarheid van deze exploit vergroot de kans op misbruik in het wild van dit lek." De alarmfases die de beveiliging gebruikt voor het aangeven van de veiligheid op internet, blijft onveranderd op ThreatCon 2.

De kwetsbaarheid bevindt zich in mshtml.dll en laat aanvallers willekeurige code op systemen uitvoeren. Is DEP echter ingeschakeld, dan is dit niet mogelijk, zegt Kevin Liston van het Internet Storm Center. Hij verwacht dat Microsoft het lek tijdens de patchcyclus van februari zal dichten, tenzij iemand anders met een onofficiële update komt. Iets waar de softwaregigant gisteren al voor waarschuwde.