Een bij de Amerikaanse geheime dienst NSA gestolen exploit voor een kwetsbaarheid in Windows is jarenlang door een advanced persistent threat (APT)-groep uit China gebruikt, zo beweert securitybedrijf Check Point in een vandaag verschenen analyse.

De kwetsbaarheid, CVE-2017-0005, werd op 14 maart 2017 door Microsoft gepatcht. Het beveiligingslek in de Windows-kernel maakt het mogelijk voor een aanvaller die al toegang tot een systeem heeft om zijn rechten te verhogen. De kwetsbaarheid alleen is niet voldoende voor het overnemen van systemen en moet in combinatie met malware of een ander lek worden gebruikt dat het uitvoeren van code mogelijk maakt.

Het beveiligingslek in kwestie werd al voor het uitkomen van de beveiligingsupdate aangevallen en was ontdekt door het Computer Incident Response Team van defensiebedrijf Lockheed Martin. De zeroday-aanval werd door Microsoft toegeschreven aan een vanuit China opererende groep aanvallers genoemd Zirconium, ook bekend als APT31. Onderzoekers van Check Point claimen nu dat de exploit niet door APT31 is ontwikkeld, maar door de Amerikaanse geheime dienst NSA.

Het is een replica van een door de Equation Group ontwikkelde exploit genaamd "EpMe" die uit 2013 dateert, zo stellen ze. Equation Group is de naam die wordt gebruikt voor een eenheid van de NSA. De Epme-exploit is onderdeel van de tools die bij de NSA werden gestolen en in 2017 door een groep genaamd Shadow Brokers openbaar werd gemaakt.

APT31 had echter al jaren eerder toegang tot de exploit, zo stellen de onderzoekers. Mogelijk is die bij een aanval van de NSA op een doelwit in handen van deze groep gekomen. Volgens de onderzoekers laat dit zien hoe gevaarlijk het is als exploits van een overheidsinstantie uitlekken en in verkeerde handen terechtkomen.