Het actief aangevallen beveiligingslek in Flash Player waarvoor gisteren een noodpatch van Adobe verscheen is ontdekt dankzij VirusTotal, de online virusscandienst van Google. Via de kwetsbaarheid kan een aanvaller volledige controle over de computer krijgen.

De aanval werd ontdekt in een Excel-document dat een Flash-object laadde, dat de exploit bevatte. Deze exploit maakte vervolgens misbruik van de op dat moment onbekende kwetsbaarheid, ook wel een zero-day genoemd. In het verleden werden zeroday-lekken in Flash Player vaak via websites aangevallen. Browsers hebben maatregelen tegen allerlei plug-ins genomen, waaronder Flash Player. Microsoft Office ondersteunt echter nog steeds embedded ActiveX-controls.

Wat opviel aan het zeroday-lek was dat die door meerdere onderzoekers en securitybedrijven los van elkaar was ontdekt en aan Adobe gerapporteerd. Adobe bedankte in het beveiligingsbulletin voor de kwetsbaarheid de bedrijven ICEBRG, 360 Threat Intelligence Center, Qihoo 360 Core Security en Tencent PC Manager.

Gisteren publiceerde 360 Core Security al verschillende details over de aanval, waaronder het gebruik van een Excel-spreadsheet met salarisinformatie. Het bedrijf liet weten dat het de aanval op 1 juni had ontdekt. Nu heeft ook securitybedrijf ICEBRG een analyse online gezet, waarin het zegt de aanval ook op 1 juni te hebben ontdekt. Het bedrijf meldt dat op 31 mei iemand vanaf een ip-adres in Qatar het document naar VirusTotal heeft geüpload.

VirusTotal is een dienst van Google waar gebruikers verdachte bestanden door zo'n 60 anti-virusbedrijven kunnen laten scannen. Geüploade bestanden worden echter gedeeld met onderzoekers en securitybedrijven, wat verklaart dat meerdere securitybedrijven op dezelfde dag de kwetsbaarheid vonden. Wie achter de aanval zit en wie het doelwit was is volgens ICBRG niet met zekerheid te zeggen.