Vaak wordt geadviseerd om vanaf een LiveCD of Virtual Machine (VM) te internetten, maar ook deze gebruikers moeten niet vergeten om beveiligingsupdates te installeren. Dat stelt beveiligingsexpert 'sinn3r' van beveiligingsbedrijf Rapid7, dat onder andere de populaire hackertool Metasploit ontwikkelt en aanbiedt. Metasploit laat security professionals en penetratietesters de veiligheid van systemen en netwerken testen.

Gisteren werd er een exploit aan Metasploit toegevoegd die gedeeltelijk tegen gebruikers van Tor Browser was ingezet. Tor Browser laat gebruikers verbinding met het anonimiseringsnetwerk Tor maken en gebruikt als browser Firefox 17. Onlangs werden gebruikers van een verouderde Tor Browser op Windows aangevallen, waarbij uiteindelijk hun computernaam en MAC-adres naar de aanvallers werd gestuurd.

De exploit die de aanvallers ontwikkelden werkt alleen tegen Firefox 17 in Tor Browser, niet tegen de standaardversie van Firefox 17. De makers van Metasploit hebben de exploit zo aangepast dat die niet tegen Tor Browser werkt, maar wel tegen de standaardversie van Firefox 17.

Patches installeren

Sinn3r merkt op dat de aanval alleen kon slagen omdat gebruikers van Tor Browser de software niet hadden geüpdatet. Het aangevallen lek was zes weken eerder al gepatcht. Tod Beardsley van Rapid 7 voegt toe dat het beveiligingsbedrijf zich niet met Firefoxlekken bezighoudt, omdat Mozilla die agressief patcht en het daardoor lastig is om kwetsbare gebruikers te vinden.

Het lijkt er dan ook op dat de makers van de exploit wisten dat hun groep van doelwitten de update niet hadden geïnstalleerd, gaat sinn3r verder. Normaliter is het volgens de beveiligingsexpert lastig om updates voor Firefox te vermijden.

"Aangezien veel mensen die Tor gebruiken vaak met read-only media werken, zoals een LiveCD of een read-only virtuele omgeving, is het iets lastiger om op tijd te updaten", stelt de expert. In de praktijk betekent dit dat gebruikers een nieuwe LiveCD moeten branden of hun Virtual Machine zo moeten instellen dat die schrijfbaar is.

"Samengevat lijkt het erop dat we een geval hebben waarbij goed veiligheidsadvies, namelijk niets opslaan op je geheime besturingssysteem, tot slechte operationele veiligheid in de praktijk heeft geleid, waarbij de regel om beveiligingsupdates te installeren is geschonden. Hopelijk hebben deze gebruikers hun les geleerd."