Druga połowa 2006 roku była trudnym okresem dla użytkowników Microsoft Word. Tylko w ciągu ostatnich dwóch miesięcy badacze bezpieczeństwa odkryli co najmniej cztery poważne luki. Nie były to drobne błędy. Były to exploity dnia zerowego – termin, który nie bez powodu brzmi dramatycznie. Oznacza to, że licznik czasu dla obrońców i atakujących zaczął odliczać czas w tym samym momencie. Hakerzy zazwyczaj najpierw znajdują lukę. Czasami Microsoft to odkrywa i ogłasza, ale atakującym udaje się zaatakować, zanim poprawka będzie gotowa. Jednak te konkretne błędy w programie Word były inne. Przez prawie osiem tygodni od rozpoczęcia ataków Microsoft nie wypuścił ani jednej łatki.
Zhakuj 5 grudnia
Pierwsze pęknięcie w zbroi pojawiło się na początku grudnia. Skala była ogromna. Problem dotyczył wersji programów Word 2000, 2002 i 2003 dla systemu Windows. Problem dotyczy także użytkowników komputerów Mac korzystających z programów Word 2004 i Word 2004 w wersji X. Zagrożeni byli nawet ci, którzy korzystali wyłącznie z programu Word Viewer 2003 lub Microsoft Works 2004, 2005 i 2006.
Mechanizm był prosty i przerażający. Osoba atakująca wstrzykuje kod do zwykłego dokumentu programu Word. Publikuje go na stronie internetowej lub wysyła jako załącznik do wiadomości e-mail. Widzisz plik. Otwórz to. Nagle Twój komputer nie jest już Twój. Atakujący uzyskuje zdalny dostęp. Wykonuje kod jako Twój login. Oznacza to, że ma on takie same prawa dostępu jak Ty. Może uzyskać dostęp do Twoich plików, zainstalować własne oprogramowanie lub wykorzystać Twój komputer jako odskocznię do innych ataków. Microsoft dowiedział się o tym 5 grudnia 2006 roku, kiedy zaczęły się masowe raporty o atakach.
Drugie drzwi się otwierają
Zaledwie tydzień później pojawiła się druga luka. Był zupełnie inny niż ten pierwszy. Luka ta nie wymagała otwierania złośliwego pliku. Opierał się na niepowodzeniu samego Worda.
Według Microsoftu exploit ten zadziałał, gdy aplikacja napotkała określony błąd. Jeśli wystąpi ten błąd, drzwi się otworzą. Osoba atakująca może przeniknąć do systemu i uruchomić złośliwy kod bez jakiejkolwiek interakcji użytkownika, poza zwykłym zawieszeniem programu. To była pasywna pułapka. Nie musiałeś klikać w nic złego. Wystarczyło użyć Worda. Ta druga luka dotyczyła tych samych wersji programów Word dla Windows 2000, 2002 i 2003, a także Word Viewer 2003.
Cisza, jaka panowała w Redmond przez te osiem tygodni, była ogłuszająca. Użytkownicy korzystali z oprogramowania, które było aktywnie wykorzystywane i nie było widocznych oznak oficjalnej poprawki. Nasuwało się proste pytanie: ile szkód już wyrządzono, zanim ktokolwiek zaczął mówić o rozwiązaniu problemu?
Skutki tych początkowych luk w zabezpieczeniach powodujących uszkodzenie pamięci nadal występują. Kilka dni później badacze bezpieczeństwa odkryli trzecią lukę. Otworzyło to także drogę do zdalnego dostępu i kontroli, ale miało inną przyczynę: problem przepełnienia bufora w programie Word. Niebezpieczeństwo stało się namacalne, gdy ekspert oprogramowania znany w Internecie jako „Disco Johnny” opublikował kod sprawdzający koncepcję. To nie było tylko teoretyczne zagrożenie. Była to praktyczna demonstracja, która zasadniczo dała hakerom plan ataku i udowodniła Microsoftowi, że ma kolejny krytyczny problem.
Następnie, około pięć tygodni później, 25 stycznia, czwarta luka stała się żywym wektorem ataku. Metoda była zwodniczo prosta. Użytkownik otrzymuje wiadomość e-mail z załączonym skompromitowanym plikiem programu Word. Otwarcie tego pliku uruchamia exploit. Konsekwencje zależą jednak całkowicie od wersji programu. Jeśli korzystasz z programu Word 2000, osoba atakująca uzyskuje zdalną kontrolę nad całym systemem. Jeśli używasz programu Word 2003 lub Word XP, wynik jest mniej przerażający, ale nie mniej irytujący: program powoduje awarię komputera. Nie przekazuje kluczy kontrolnych, ale odmawia dostępu do własnej pracy.
Te cztery problemy to tylko najnowsze rozdziały dłuższej serii ataków wykorzystujących nieujawnione wady pakietu Microsoft Office. Ten wzorzec zaczął się pojawiać już we wrześniu 2006 r. Wtedy hakerzy zaczęli atakować kolejną lukę dnia zerowego w programie Word, specyficzną tylko dla programu Word 2000. Szkodnik zidentyfikowany jako MDropper.Q wymagał od użytkownika otwarcia zainfekowanego dokumentu przy użyciu przestarzałej aplikacji Word 2000. Po otwarciu wirus umieszczał złośliwy kod na komputerze, dając zdalnemu atakującemu pełną kontrolę.
Rada Microsoftu pozostaje taka sama w przypadku takich incydentów: zainstaluj wiele warstw oprogramowania zabezpieczającego i aktualizuj jego wersje. Ale poza poprawkami odpowiedzialność przenosi się na zachowanie użytkowników. Musimy rozszerzyć naszą tradycyjną ostrożność dotyczącą załączników do wiadomości e-mail na obszary, które wcześniej uważano za bezpieczniejsze przestrzenie cyfrowe. Zasada się zmieniła. Jeśli plik kończy się na .doc, nie dotykaj go, chyba że znasz źródło i całkowicie mu nie ufasz.
Bardziej szczegółowe zasoby są dostępne dla tych, którzy chcą zrozumieć mechanikę tych hacków. Możesz badać, jak działają zapory sieciowe, jak rozmnażają się wirusy komputerowe lub jakich konkretnych metod używają hakerzy w celu włamania się do systemów. Bardziej szczegółowe porady dotyczące identyfikowania zagrożeń można znaleźć w przewodnikach dotyczących wyboru oprogramowania antywirusowego oraz wyjaśnieniach, w jaki sposób robaki rozprzestrzeniają się za pośrednictwem poczty elektronicznej. Jeśli podejrzewasz, że bezpieczeństwo Twojego komputera zostało już naruszone, istnieją zasoby, które pomogą Ci ustalić, w jaki sposób ktoś zmanipulował Cię w Internecie.
Szerszy kontekst tych luk jest dobrze udokumentowany. Publikacje branżowe, takie jak F-Secure i McAfee, dostarczają bieżących wiadomości i zasobów dotyczących wirusów. Możesz znaleźć wybrane katalogi narzędzi ochrony antywirusowej i dyskusje, które oddzielają fałszywe wirusy od prawdziwych zagrożeń. Historia pozostawienia przez Microsoft krytycznych luk w zabezpieczeniach programu Word bez łatania przez dłuższy czas nadal jest przedmiotem kontrowersji w cyklach wiadomości technologicznych.
Materiał źródłowy tych incydentów pochodzi ze szczegółowych raportów dziennikarzy CNET News.com, Jorisa Eversa i Dawn Kawamoto, z przełomu 2006 i 2007 roku. Ich relacje podkreślają szybką eskalację od wykrycia do wykorzystania, zwracając uwagę na brak natychmiastowych poprawek dla niektórych starszych wersji. Ramy czasowe są napięte. Odkryto lukę. Kod opublikowany. Rozpoczęły się ataki. Użytkownicy zostają sami z krajobrazem, w którym prosty dokument może stać się bronią.
Pytanie nie dotyczy tylko tego, która wersja jest bezpieczna. Pytanie brzmi, czy model oparty na korektach pooperacyjnych jest wykonalny, gdy okno wpływu mierzone jest w dniach, a nie miesiącach.
