Artikel top billede

Sådan lukker du farlig sårbarhed i Internet Explorer

Et yderst kritisk sikkerhedshul er blevet opdaget i Internet Explorer. Læs her, hvordan du selv lukker hullet, inden producenten Microsoft er på banen med en solid lappeløsning.

Læs også:
0-dags-sårbarhed fundet i Flash og Internet Explorer

Internet Explorer taber terræn til rival-browser

I sidste uge blev en 0-dagssårbarhed udnyttet i Microsoft-browseren Internet Explorer, og nu arbejder softwareselskabet på højtryk på at få lappet det kritiske hul.

Inden lappegrejet er på gaden, kan du dog selv gøre dit for at lukke hullet.

"Folk kan selvfølgelig holde op med at bruge Internet Explorer eller bare leve med risikoen. Men de kan også slå active script fra," forklarer sikkerhedsekspert Peter Kruse fra sikkerhedsselskabet CSIS Security Group.

Han fortæller, at en deaktivering af active script under browserens internetindstillinger har den bieffekt, at visse elementer og funktioner på en hjemmeside som eksempelvis Facebook-'like' og Flash-videoer kan have problemer med at køre. 

Netop Flash var også først under mistanke for at indeholde et kritisk 0-dags-hul, men Peter Kruse frifinder fuldstændigt multimedieplatformen fra Adobe. 

"Vi troede først, at en komponent i Flash også var ramt. Ved nærstudier har det dog vist sig at være en komponent i Internet Explorer, som Microsoft faktisk fiksede i midten 2011, men åbenbart bare ikke godt nok," forklarer sikkerhedseksperten.

Kan ramme dig på dit favoritsite

Sårbarheden i Internet Explorer kan blandt bruges til såkaldte drive-by-angreb, hvor en intetanende bruger går ind på en hjemmeside, som man normalt stoler på.

Hvis denne hjemmeside er blevet hacket - eksempelvis ved, at en hacker har købt adgang til ftp-brugernavn og -password via internettets allermørkeste fora for kriminelle - kan angriberen skyde skadelig kode ud på den besøgendes computer.

Når denne kode lokalt på din computer er aktiveret kan den potentielt fjernstyre din computer, stjæle dine filer og forretningshemmeligheder.

Peter Kruse forklarer, at flere steder kan it-kriminelle ligefrem købe stakkevis af ftp-brugernavne og -passwords til hjemmesider, hvor der så kan lægges skadelig kode ind, som de kan bruge via sikkerhedshullet i Internet Explorer version 7, 8 og 9.

Faktisk kan man også købe sig adgang til en service på hackerhjemmesider, hvor der automatisk bliver uploadet skadelige kode til alle de ftp-brugernavne og -passwords, som man har købt.

"Jo flere brugernavne og password en it-kriminel kommer i besiddelse af, des mere bliver den skadelige kode spredt, og derfor kan dette sikkerhedshul i Internet Explorer potentielt ramme mange og meget hårdt," fortæller han.

Nøgen kvinde afpresset

Sikkerhedseksperten fra CSIS har kendskab til en dansk sag med et drive-by-angreb, hvor en kvinde loggede på Facebook for at chatte.

Her er Micrsosofts hjælp til at lappe hullet

Via et skadeligt link fra sin chatkammerat havde hun intetanende givet vedkommende adgang til hendes computer og dermed også webcam, som blev tændt under chatten, der efterhånden fik en mere og mere lummer karakter.

Kvinden blev blandt andet under chatten overtalt til at smide tøjet, mens webcam'et filmede det hele.

Siden blev kvinden afpresset til at betale, hvis den først lumre og siden lumpne chatkammerat ikke skulle afsløre nøgenbillederne for kvindens mand.

"Vi ser flere og flere eksempler på afpresning, når der er skadelig kode lokalt på folks computere," forklarer Peter Kruse og fortæller også om flere eksempler på, at virksomheder har fået stjålet vitale informationer op til aflæggelsen af deres årsregnskab.

Disse tal er ifølge Peter Kruse sandsynligvis blevet brugt til "insider-handel" på børsen eller til at presse penge ud af selskaberne.

Fikser problemerne

Han fortæller, at selvom sikkerhedsfirmaerne allerede er i gang med at bygge signaturer til at detektere og advare om det aktuelle hul i Internet Explorer, så er det producenten, der i sidste ende skal fikse problemet.

Det vil sige, at pilen peger på Microsoft, der normalt kommer sine sikkerhedsopdateringer 'patch-Tuesday', der er den anden tirsdag i måneden.

Da der er tre uger til, at Microsoft sender sine sikkerhedsopdateringer ud til sine kunder, forventer Peter Kruse, at der bliver udsendt helt ekstraordinært lappegrej til Internet Explorer-brugerne.

"Alt andet ville være utroværdigt," lyder skudsmålet fra CSIS-sikkerhedseksperten.

Hos Microsoft forsøger selskabet at dæmpe gemytterne over det nyopdagede og dermed potentielt meget farlige sikkerhedshul i en af verdens mest brugte browsere, som ifølge FDIM bliver brugt af over halvdelen af danskerne.

"Vi er opmærksomme på, at målrettede angreb muligvis kan ramme nogle versioner af Internet Explorer," forklarer Yunsun Wee, der er chef for Microsoft Trustworthy Computing.

Han forklarer, at softwareselskabet har skrevet mere om problematikken på sin sikkerhedsblog og understreger samtidig, at Microsoft seneste browser, Internet Explorer 10, ikke er ramt af 0-dagssårbarheden. 

"Vi tager skridt til yderligere handlinger, når det er passende. Mens angrebene stadig er meget begrænsede, så vil vi anbefale, at vores kunder implementerer Microsofts Enhanced Mitigation Experience Toolkit (EMET) 3.0, som giver effektiv beskyttelse uden at skade browser-oplevelsen," lyder det i en officiel udmelding fra Microsoft.

Læs også:
0-dags-sårbarhed fundet i Flash og Internet Explorer

Internet Explorer taber terræn til rival-browser




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Jobindex Media A/S
Salg af telemarketing og research for it-branchen, it-kurser og konferencer

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere