Pamiętacie ten złośliwy dokument, który wykorzystywał lukę w Wordzie do pobierania złośliwego oprogramowania bez pozostawiania śladów? Dobra wiadomość jest taka, że Microsoft opublikował łatkę 11 kwietnia, a jej instalacja jest zalecana w trybie pilnym. Zła wiadomość jest taka, że błąd został odkryty w lipcu 2016 roku i przez kolejne dziewięć miesięcy był wykorzystywany do przeprowadzania ataków w Rosji, na Ukrainie, w Australii i Izraelu.
Oficjalne oznaczenie tej luki to CVE-2017-0199. Z technicznego punktu widzenia została już naprawiona, a ci, którzy korzystają z najnowszych wersji pakietu Office builds (od wersji 2007 SP3 wzwyż) powinni być chronieni. Jednak dobrze wiemy, że z różnych powodów wielu użytkowników i administratorów decyduje się opóźniać instalację poprawek. Być może ich środowisko korporacyjne jest zbyt restrykcyjne, albo po prostu korzystają z nielegalnych kopii z systemami aktywacji neutralizowanymi przez Windows Update. Ale błędy nie dyskryminują i to, co w innych okolicznościach byłoby rutynową łatką, zamieniło się w dziewięciomiesięczną odyseję.
Historia przenosi nas do lipca 2016 roku, kiedy konsultant Ryan Hanson odkrył lukę 0-day. Przez następne trzy miesiące pracował nad błędem, aby ocenić jego powagę i potencjał łączenia z innymi lukami, a następnie zgłosić go firmie Microsoft. Po zapoznaniu się z wynikami w Redmond doszli do wniosku, że szybka poprawka nie wystarczy, a także nie mogli ujawnić zbyt wielu danych, bo ostrzegłoby to hakerów. W tamtym czasie nie było oznak ujawnienia luki, ale zmieniło się to w styczniu tego roku, co prowadzi nas do oryginalnego raportu FireEye. CVE-2017-0199 został wykorzystany przez „wielu agentów” do rozpowszechniania co najmniej trzech form złośliwego oprogramowania, zaczynając od FinSpy, Latentbot i Dridex. Przypadek FinSpy jest szczególny, ponieważ znamy go jako FinFisher, szpiegowskie oprogramowanie używane przez dziesiątki rządów na całym świecie.
Pierwsze ofiary ograniczały się do Rosji i Ukrainy, co świadczy o pewnym poziomie precyzji kampanii. Po zgromadzeniu dodatkowych dowodów FireEye skontaktował się z Microsoftem, ale potwierdzenie przez McAfee 7 kwietnia zasadniczo poruszyło sprawę, ogłaszając światu istnienie luki 0-day. Dwa dni później czarny rynek już oferował warianty wykorzystujące CVE-2017-0199 do dystrybucji Dridex. Ataki przeniosły się do Australii i innych krajów, z celem kradzieży środków z kont bankowych. Uniwersytet Ben-Guriona w Izraelu ogłosił, że kilku jego pracowników zostało zhakowanych „po zainstalowaniu poprawki” przez atakujących powiązanych z rządem irańskim, którzy najwyraźniej przejęli kontrolę nad ich kontami e-mail i rozszerzyli dystrybucję złośliwych dokumentów na ponad 250 celów. Nieznana jest ostateczna liczba osób dotkniętych problemem oraz ilość skradzionych pieniędzy. Niezależnie od tego, czy opóźnienie mogło być uzasadnione, konieczne jest opracowanie uniwersalnej platformy, która pozwoli lepiej koordynować komunikację między niezależnymi badaczami bezpieczeństwa a korporacjami.
