Kaip šeštadienį savo tinklaraštyje pranešė kibernetinio saugumo bendrovė „FireEye“, ataka inicijuojama persiunčiant elektroninį laišką, prie kurio būna prisegtas „Word“ dokumentas. Atidarius dokumentą iš karto aktyvuojamas jame paslėptas piktybinis kodas, kuris sujungia atakuojamą vartotoją su užpuoliko valdoma tarnybine stotimi. Iš šios tarnybinės stoties atsiunčiama piktybinė HTML formato programėlė, užmaskuota kaip „Rich Text Format“ tipo rinkmena. Ir tuo pačiu, nematant vartotojui, .hta formato rinkmena į kompiuterį prisiunčia skirtingų piktybinių programų priklausančių skirtingoms, gerai žinomoms kompiuterinių virusų šeimoms.
Ši ataka yra išskirtinė dėl kelių priežasčių. Visų pirma, ji apeina daugumą apsaugų, skirtų programinių saugumo spragų išnaudojimams užkardyti. Ji sėkmingai įvykdoma net prieš kompiuterius, kuriuose įdiegta „Windows 10“ operacinė sistemą, kurią saugumo ekspertai vertina kaip patį saugiausią kada nors sukurtą „Microsoft“ produktą. Antra, skirtingai nei dauguma per keletą pastarųjų metų kurtų „Word“ pagrindo piktybinių įrankių, šis nereikalauja, kad aukų sistemose būtų leidžiamas makro komandų vykdymas. Trečia, prieš aktyvuodamasis šis įrankis atidaro kaip tikrą atrodantį „Word“ dokumentą, kuriuo bandoma paslėpti ką tik įvykusios atakos pėdsakus.
Pirmosios taip vykdomos atakos užfiksuotos praėjusios savaitės penktadienį – apie tai pranešė kibernetinio saugumo bendrovės „McAffee“ ekspertai.
„Piktybinis įrankis jungiasi prie nutolusios tarnybinės stoties (kurią valdo užpuolikas), atsisiunčią rinkmeną, kurioje yra HTML programėlės turinys ir paleidžia jį kaip .hta formato rinkmeną. Kadangi .hta yra paleidžiamojo tipo rinkmena, užpuolikas gana pilnas galimybes vykdyti komandas aukos kompiuteryje. Tad tai yra loginė saugumo spraga, kuri užpuolikams suteikia galią apeiti visas su atminti susijusias „Microsoft“ sukurtas kibernetinių atakų užkardymo priemones“.
Sėkmingai paleidus piktybinio įrankio veikimą, atakos auką sumasinęs „Word“ dokumentas uždaromas ir vietoj jo tučtuojau atidaromas naujas, netikras dokumentas, nukreipiantis dėmesį. Tuo tarpu fone piktybinė programinė įranga į kompiuterį jau būna įdiegta.
Bendrovės „FireEye“ specialistai tvirtina, kad „Microsoft“ apie tokios spragos egzistavimą įspėjo jau prieš kelias savaites ir buvo prisižadėję šios spragos neviešinti iki pataisymo išplatinimo, tačiau to to, kai „McAffee“ savo tinklaraštyje nepriklausomai išplatino šią informaciją, savo sprendimą patylėti atšaukė ir „FireEye“. Šios bendrovės specialistų teigimu, jiems yra žinoma, kad taikant šį metodą atakos yra vykdomos jau nuo šių metų sausio. „Microsoft“ saugumo atnaujinimus savo operacinei sistemai tradiciškai platina antradieniais.
„Nulinės dienos“ atakos – tai tokie kibernetiniai išpuoliai, kurie vykdomi pasinaudojant saugumo spraga, kuri nėra žinoma programinės įrangos kūrėjams arba yra žinoma, tačiau dar nėra užtaisyta.
Paprastai tokiomis saugumo spragomis naudojamasi labai ribotai, siekiant įvykdyti išpuolius prieš labai konkrečius asmenis – pavyzdžiui, priešiškos valstybės valdžios atstovus panašias organizacijas. Išpuolių vykdytojai dažniausiai būna rimtus kibernetinio karo pajėgumus turinčios taip pat valstybinės organizacijos. Tuo tarpu tokių išpuolių panaudojimas prieš plačiąją visuomenę yra labai retas reiškinys, mat itin vertingos žinios apie „nulinės dienos“ saugumo spragą tampa viešomis ir programinės įrangos kūrėjai paprastai skubiai sukuria pataisas, trukdančias efektyviam spragos išnaudojimui.
Kol kas vartotojams galima patarti labai įtariai vertinti bet kokius elektroniniu paštu gaunamus „Word“ dokumentus – net tuo atveju, jeigu siuntėjas yra gerai žinomas asmuo. „McAffee“ stebėtos atakos neprasidėdavo, jeigu dokumento peržiūrai buvo naudojamas tik „Protected View“ režimas. Tačiau išjungti „Protected View“ režimą rekomenduojama tik visiškai įsitikinus, kad dokumentas yra tikras ir saugus.
