Друга половина 2006 стала важким часом для користувачів Microsoft Word. Всього за останні два місяці дослідники безпеки виявили щонайменше чотири серйозні вразливості. То були не дрібні помилки. Це були експлойти нульового дня — термін, який звучить драматично не просто так. Він означає, що таймер для захисників і зловмисників почав відраховувати час в той самий момент. Зазвичай хакери знаходять уразливість першими. Іноді Microsoft виявляє її і повідомляє про це, але зловмисники встигають атакувати до того, як буде готове виправлення. Однак ці конкретні помилки Word були іншими. Протягом майже восьми тижнів після початку атак Microsoft не випустила жодного патчу.
Злом 5 грудня
Перша тріщина у броні з’явилася на початку грудня. Масштаб був величезним. Торкалися версії Windows Word 2000, 2002 і 2003. Також постраждали користувачі Mac, які використовують Word 2004 і Word 2004 версії X. Навіть ті, хто використовував тільки Word Viewer 2003 або Microsoft Works 2004, 2005 і 2006,
Механізм був простим і страшним. Зловмисник впроваджує код у звичайний документ Word. Він розміщує його на веб-сайті або відправляє як вкладення електронною поштою. Ви бачите файл. Ви відкриваєте його. Раптом ваш комп’ютер перестає бути вашим. Зловмисник отримує віддалений доступ. Він виконує код від вашого імені входу. Це означає, що він має права доступу, що й у вас. Він може отримати доступ до ваших файлів, встановити власне програмне забезпечення або використовувати машину як плацдарм для інших атак. Microsoft дізналася про це 5 грудня 2006 року, коли почалися масові повідомлення про атаки.
Відчиняються другі двері
Усього за тиждень з’явилася друга вразливість. Вона була зовсім відмінна від першої. Ця вразливість не вимагала від вас відкриття шкідливого файлу. Вона ґрунтувалася на збої самого Word.
За словами Microsoft, цей експлойт спрацьовував, коли програма стикалася з певною помилкою. Якщо ця помилка виникала, двері відчинялися. Зловмисник міг проникнути в систему та запустити шкідливий код без будь-якої взаємодії з користувачем, крім простого збою програми. Це була пасивна пастка. Вам не потрібно було натискати ні на що неправильне. Вам просто потрібно було використати Word. Ця друга вразливість торкнулася тієї ж версії Word для Windows 2000, 2002 і 2003, і навіть Word Viewer 2003.
Мовчання з Редмонда протягом цих восьми тижнів було приголомшливим. Користувачі використовували активно активоване програмне забезпечення без видимих ознак офіційного виправлення. Це породжувало просте питання: яких збитків вже було завдано, перш ніж хтось взагалі заговорив про вирішення проблеми?
Наслідки цих початкових уразливостей, пов’язаних із пошкодженням пам’яті, не припинилися. Через кілька днів дослідники безпеки виявили третю вразливість. Вона також відкривала шлях для віддаленого доступу та управління, але мала іншу причину: проблему переповнення буфера в Word. Небезпека стала відчутною, коли програмний експерт, відомий у мережі як Disco Johnny, опублікував демонстраційний код (proof-of-concept). То була не просто теоретична загроза. Це було практичне demonstration, що фактично передало хакерам креслення для атаки і довело Microsoft, що вони зіткнулися з ще однією критичною проблемою.
Потім, приблизно через п’ять тижнів, 25 січня, четверта вразливість перетворилася на живий вектор атаки. Метод був оманливо простим. Користувач отримує електронний лист із прикріпленим скомпрометованим файлом Word. Відкриття цього файлу запускає експлойт. Наслідки, однак, повністю залежить від вашої версії програми. Якщо ви використовуєте Word 2000, зловмисник отримує віддалений контроль над системою. Якщо ви використовуєте Word 2003 або Word XP, результат менш страшний, але не менш дратівливий: програма викликає збій вашого комп’ютера. Вона не передає ключі управління, але позбавляє вас доступу до своєї роботи.
Ці чотири проблеми були лише останніми розділами у довшій сазі атак, що експлуатують нерозкриті недоліки у всьому пакеті Microsoft Office. Ця закономірність вже почала виявлятися у вересні 2006 року. Саме тоді хакери почали атакувати ще одну вразливість нульового дня в Word, специфічну тільки для Word 2000. Шкідливе ПЗ, ідентифіковане як MDropper.Q, вимагало від користувача відкриття зараженого документа за допомогою застарілого додатка Word 2000. Після відкриття вірус розміщував зловмисний код, видаляючи шкідливий код.
Поради Microsoft залишаються незмінними в цих інцидентах: встановлюйте кілька рівнів захисного програмного забезпечення та уважно оновлюйте версії. Але, крім патчів, відповідальність перекладається на поведінку користувачів. Нам потрібно розширити нашу традиційну обережність щодо вкладень в електронну пошту на те, що раніше вважалося більш безпечним цифровим простором. Правило змінилося. Якщо файл закінчується на .doc, не чіпайте його, якщо ви не знаєте джерело і не довіряєте йому повністю.
Для тих, хто хоче зрозуміти механіку цих зломів, доступні глибші ресурси. Ви можете вивчити, як працюють файрволи, як розмножуються комп’ютерні віруси або які конкретні методи використовують хакери для проникнення системи. Для отримання більш конкретних рекомендацій щодо виявлення загроз існують посібники щодо вибору антивірусного програмного забезпечення та пояснення того, як хробаки поширюються через електронну пошту. Якщо ви підозрюєте, що ваш комп’ютер вже скомпрометований, є ресурси, які допоможуть вам визначити, як вами керували через інтернет.
Ширший контекст цих уразливостей добре задокументований. Галузеві видання, такі як F-Secure та McAfee, надають постійні новини про віруси та ресурси. Ви можете знайти куровані каталоги інструментів антивірусного захисту та обговорення, що відокремлюють вірусні фейки від реальних загроз. Історія про те, що Microsoft залишала критичні вразливості Word без виправлень протягом тривалих періодів, продовжує залишатися предметом суперечок у технологічних циклах новин.
Вихідний матеріал для цих інцидентів надходить із докладних звітів журналістів CNET News.com Джорі Еверса (Joris Evers) та Дон Кавамото (Dawn Kawamoto) наприкінці 2006 та на початку 2007 року. Їхнє освітлення підкреслює швидку ескалацію від виявлення до експлуатації, відзначаючи відсутність негайних виправлень для деяких застарілих версій. Тимчасові рамки тісні. Виявлено вразливість. Опубліковано код. Почалися атаки. І користувачі залишаються віч-на-віч з ландшафтом, де простий документ може стати зброєю.
Питання не лише у тому, яка версія безпечна. Питання в тому, чи життєздатна модель, заснована на виправленні після експлуатації, коли вікно впливу вимірюється днями, а не місяцями.
