De tweede helft van 2006 was een slechte tijd om Microsoft Word-gebruiker te zijn. Alleen al in de afgelopen twee maanden hebben beveiligingsonderzoekers minstens vier grote kwetsbaarheden ontdekt. Dit waren geen kleine bugs. Het waren ‘zero-day-exploits’, een term die niet voor niets dramatisch klinkt. Het betekent dat de klok voor verdedigers en aanvallers op precies hetzelfde moment begon te tikken. Meestal vinden hackers het gat eerst. Soms merkt Microsoft het op en kondigt het aan, zodat kwaadwillende actoren kunnen toeslaan voordat er een oplossing klaar is. Maar deze specifieke gebreken in het Woord waren anders. Bijna acht weken nadat de aanvallen begonnen, had Microsoft geen enkele patch uitgebracht.
De inbraak van 5 december
De eerste scheur in het pantser verscheen begin december. De reikwijdte was enorm. Het trof de Windows-versies van Word 2000, 2002 en 2003. Het infecteerde ook Mac-gebruikers die Word 2004 en Word 2004 versie X gebruikten. Zelfs degenen die alleen Word Viewer 2003 of Microsoft Works 2004, 2005 en 2006 gebruikten, zaten in het vizier.
Het mechanisme was eenvoudig en angstaanjagend. Een aanvaller sluit code in een standaard Word-document in. Ze hosten het op een website of sturen het als e-mailbijlage. Je ziet het bestand. Je opent het. Plotseling is uw computer niet langer van u. De aanvaller krijgt de afstandsbediening. Ze voeren code uit onder uw eigen inloggegevens. Dit betekent dat ze dezelfde rechten hebben als jij. Ze hebben toegang tot uw bestanden, kunnen hun eigen software installeren of uw machine gebruiken als startpunt voor andere aanvallen. Microsoft hoorde hiervan op 5 december 2006, toen de berichten over aanvallen binnenstroomden.
Een tweede deur gaat open
Slechts een week later dook een tweede kwetsbaarheid op. Het was geheel anders dan de eerste. Deze vertrouwde er niet op dat jij een kwaadaardig bestand opende. Het was afhankelijk van het feit dat Word zelf faalde.
Volgens Microsoft werd deze exploit geactiveerd toen de applicatie een specifieke fout tegenkwam. Als die fout zich voordeed, zwaaide de deur open. Een aanvaller kan het systeem binnendringen en kwaadaardige code uitvoeren zonder enige gebruikersinteractie, behalve dat het programma crasht. Het was een passieve val. Je hoefde niets verkeerds aan te klikken. Je hoefde alleen maar Word te gebruiken. Dit tweede gat trof dezelfde Windows-versies van Word 2000, 2002 en 2003, plus Word Viewer 2003.
De stilte uit Redmond gedurende die acht weken was oorverdovend. Gebruikers gebruikten software die actief werd uitgebuit, zonder dat er een officiële oplossing in zicht was. Het riep een simpele vraag op: hoeveel schade was er al aangericht voordat iemand zelfs maar over een oplossing begon te praten?
De gevolgen van deze aanvankelijke fouten in het geheugen hielden niet op. Dagen later ontdekten beveiligingsonderzoekers een derde kwetsbaarheid. Deze opende ook de deur voor toegang en controle op afstand, maar had een andere hoofdoorzaak: een bufferoverflow -probleem in Word. Het gevaar werd tastbaar toen een software-expert, online bekend als “Disco Johnny”, proof-of-concept-code publiceerde. Dit was niet alleen een theoretische waarschuwing. Het was een praktische demonstratie, waarbij hackers effectief de blauwdruk voor een aanval overhandigden, terwijl ze aan Microsoft bewezen dat ze met nog een kritiek probleem kampten.
Toen, ongeveer vijf weken later, op 25 januari, veranderde het vierde gat in een live aanvalsvector. De methode was bedrieglijk eenvoudig. Een gebruiker ontvangt een e-mail met een vervalst Word-bestand als bijlage. Het openen van dat bestand activeert de exploit. De gevolgen zijn echter volledig afhankelijk van uw versiegeschiedenis. Als u Word 2000 gebruikt, krijgt de aanvaller de controle op afstand over het hele systeem. Als u Word 2003 of Word XP gebruikt, is het resultaat minder angstaanjagend maar daarom niet minder vervelend: het programma laat uw computer crashen. Het overhandigt de sleutels niet, maar ontzegt je wel de toegang tot je eigen werk.
Deze vier problemen waren slechts de laatste hoofdstukken in een langer verhaal van aanvallen waarbij onontdekte fouten in het Microsoft Office-pakket werden misbruikt. Het patroon verscheen al in september 2006. Toen begonnen hackers zich te richten op een nieuwe zero-day Word-fout, specifiek geïsoleerd voor Word 2000. De malware, geïdentificeerd als MDropper.Q, vereiste dat een gebruiker een geïnfecteerd document moest openen met de oudere Word 2000-applicatie. Eenmaal geopend liet het virus kwaadaardige code op de pc achter, waardoor een aanvaller op afstand volledige controle kreeg.
Het advies van Microsoft blijft consistent bij deze incidenten: installeer meerdere lagen beveiligingssoftware en update versies waakzaam. Maar buiten de patches verschuift de verantwoordelijkheid naar gebruikersgedrag. We moeten onze traditionele behoedzaamheid ten aanzien van e-mailbijlagen uitbreiden naar wat ooit als een veiliger digitale ruimte werd beschouwd. De vuistregel is verschoven. Als een bestand eindigt met .doc, raak het dan niet aan tenzij u de bron kent en impliciet vertrouwt.
Voor degenen die de mechanismen achter deze inbreuken willen begrijpen, zijn er diepere bronnen beschikbaar. U kunt onderzoeken hoe firewalls werken, hoe computervirussen zich vermenigvuldigen of welke specifieke methoden hackers gebruiken om systemen te infiltreren. Voor meer specifieke begeleiding bij het identificeren van bedreigingen zijn er handleidingen over de selectie van antivirussoftware en uitleg over de manier waarop wormen zich via e-mail verspreiden. Als u vermoedt dat uw computer al is gehackt, zijn er hulpmiddelen beschikbaar om u te helpen bepalen hoe u via internet werd gecontroleerd.
De bredere context van deze kwetsbaarheden is goed gedocumenteerd. Brancheorganisaties zoals F-Secure en McAfee bieden doorlopend virusnieuws en -bronnen. U kunt samengestelde mappen met antivirusprogramma’s en discussies vinden waarin virusbedrog wordt gescheiden van echte bedreigingen. Het verhaal dat Microsoft kritieke Word-fouten gedurende langere perioden ongepatcht laat, blijft een twistpunt in de tech-nieuwscycli.
Het bronmateriaal voor deze incidenten komt uit gedetailleerde rapporten van CNET News.com-journalisten Joris Evers en Dawn Kawamoto eind 2006 en begin 2007. Hun verslaggeving benadrukt de snelle escalatie van ontdekking naar exploitatie, waarbij wordt gewezen op het gebrek aan onmiddellijke oplossingen voor bepaalde oudere versies. De tijdlijn is strak. Er wordt een fout gevonden. Code wordt gepubliceerd. Aanvallen beginnen. En gebruikers navigeren door een landschap waarin een eenvoudig document een wapen kan worden.
De vraag gaat niet alleen over welke versie veilig is. Het gaat erom of het model van het vertrouwen op post-exploit-patches nog steeds haalbaar is als de blootstellingsperiode wordt gemeten in dagen en niet in maanden.
