Internet Explorer toch niet helemaal dood

Internet Explorer, reeds twee jaar nadat het officieel werd uitgefaseerd, blijkt door een nieuw ontdekte kwetsbaarheid in Windows opnieuw een bedreiging te vormen. Cybercriminelen, bekend onder de naam Void Banshee en nauwlettend gevolgd door het securitybedrijf Trend Micro, maken gebruik van een specifieke kwetsbaarheid, genaamd CVE-2024-43461, om toegang te krijgen en controle uit te oefenen over deze verouderde webbrowser. Microsoft, die reeds details over deze kwetsbaarheid heeft gedeeld, bevestigt het misbruik ervan door deze criminele groepering. Het doel van Void Banshee strekt zich uit over verschillende continenten, inclusief Europa, Noord-Amerika en Zuidoost-Azië, waarbij zij het voornamelijk gemunt hebben op het stelen van gevoelige informatie zoals cookies en wachtwoorden.

Deze cybercriminele groep gebruikt niet alleen CVE-2024-43461, maar ook een eerder in juli gepatchte kwetsbaarheid, CVE-2024-38112, om hun malafide campagne voort te zetten. Hun methode behelst het toepassen van speciaal ontworpen .url-bestanden die ertoe leiden dat Internet Explorer wordt geopend, ondanks dat deze browser officieel niet meer ondersteund wordt. Het opmerkelijke is dat de componenten van Internet Explorer nog steeds aanwezig zijn binnen het Windows besturingssysteem, wat deze aanvallen mogelijk maakt.

Een opvallende techniek die door Void Banshee werd gebruikt, betreft het misbruik van Windows' ondersteuning voor braille. De aanvallers slaagden erin om een .hta-bestand (HTML-toepassing), vermomd als PDF, te gebruiken waarmee ze standaard veiligheidswaarschuwingen van Windows konden omzeilen door een instructie verborgen in whitespace. Gebruikers die besloten het bestand te openen, activeerden daarmee ongewild Internet Explorer, waarna een kwaadaardig programma genaamd Atlantida InfoStealer werd geïnstalleerd. Dit programma is ontworpen om gevoelige informatie zoals cookies, wachtwoorden en gebruikersnamen te extraheren.

Deze serie van aanvallen benadrukt nogmaals hoe de componenten van Internet Explorer, ondanks de verouderde status van de browser, nog steeds aanwezig en potentieel exploiteerbaar zijn binnen het Windows besturingssysteem. De term 'zombievorm', die wordt gebruikt om de staat van Internet Explorer te beschrijven, illustreert treffend hoe deze verouderde software nog steeds kan worden misbruikt voor kwaadwillende doeleinden.

Ondanks de sluwheid van deze aanvallen, zijn er beveiligingsmaatregelen die gebruikt kunnen worden om zich ertegen te verdedigen. Beveiligingsoplossingen zoals die van Symantec bieden ingebouwde bescherming tegen het uitvoeren van .url-bestanden die specifiek ontwikkeld zijn om Internet Explorer te openen en derhalve een risico vormen. Dit wijst op het belang van het handhaven van up-to-date beveiligingssoftware als een essentiële verdedigingslinie tegen dergelijke dreigingen.