Het beveiligingslek in Internet Explorer waarvoor nog altijd geen update beschikbaar is wordt door verschillende groepen gebruikt die zich met cyberspionage bezighouden. De kwetsbaarheid bevindt zich in alle ondersteunde versies van IE en werd op 17 september door Microsoft ontdekt.

De aanvallen via het lek zouden echter al sinds 23 augustus plaatsvinden, bijna een maand eerder. Naast de groep die achter deze eerste aanvallen zit, zijn er ook drie andere groepen ontdekt die van dezelfde exploit gebruik maken om organisaties via de kwetsbaarheid te infiltreren. Het gaat hier om gerichte aanvallen waarbij de aanvallers het op een specifieke bedrijfstak of organisatie voorzien hebben.

De campagnes van deze drie andere groepen hebben de naam 'Web2Crew', 'Taidoor' en 'th3bug'. Ze gebruiken de exploit om hun eigen malware op het systeem van slachtoffers te krijgen. Die kunnen besmet raken door alleen het bezoeken van een kwaadaardige of gehackte website waarop de exploit is verstopt.

Infrastructuur

Volgens Ned Moran van beveiligingsbedrijf FireEye is het niet ongewoon dat groepen die gerichte aanvallen uitvoeren exploits delen met groepen die zich lager in de rangorde bevinden. Met name als de exploit openbaar is geworden. "Hoewel de exploit hetzelfde is, hebben de groepen die ze gebruiken geen relatie met elkaar", stelt Moran.

Deze groepen hebben de exploit onder andere ingezet tegen een financiële instelling en de Taiwanese overheid. FireEye bestrijdt de suggestie van beveiligingsbedrijf Websense, dat stelde dat de eerste aanval op het nieuwe IE-lek al in juli had plaatsgevonden.

Moran stelt dat de aanvallers alleen hun bestaande infrastructuur hebben gebruikt en de exploit pas op 23 augustus voor het eerst is ingezet. Verder verwacht de beveiligingsexpert dat de exploit naast groepen die zich met cyberspionage bezighouden uiteindelijk ook bij ordinaire cybercriminelen terecht zal komen.