Artikel top billede

Sådan lukker du farlig sårbarhed i Internet Explorer

Et yderst kritisk sikkerhedshul er blevet opdaget i Internet Explorer. Læs her, hvordan du selv lukker hullet, inden producenten Microsoft er på banen med en solid lappeløsning.

Læs også:
0-dags-sårbarhed fundet i Flash og Internet Explorer

Internet Explorer taber terræn til rival-browser

I sidste uge blev en 0-dagssårbarhed udnyttet i Microsoft-browseren Internet Explorer, og nu arbejder softwareselskabet på højtryk på at få lappet det kritiske hul.

Inden lappegrejet er på gaden, kan du dog selv gøre dit for at lukke hullet.

"Folk kan selvfølgelig holde op med at bruge Internet Explorer eller bare leve med risikoen. Men de kan også slå active script fra," forklarer sikkerhedsekspert Peter Kruse fra sikkerhedsselskabet CSIS Security Group.

Han fortæller, at en deaktivering af active script under browserens internetindstillinger har den bieffekt, at visse elementer og funktioner på en hjemmeside som eksempelvis Facebook-'like' og Flash-videoer kan have problemer med at køre. 

Netop Flash var også først under mistanke for at indeholde et kritisk 0-dags-hul, men Peter Kruse frifinder fuldstændigt multimedieplatformen fra Adobe. 

"Vi troede først, at en komponent i Flash også var ramt. Ved nærstudier har det dog vist sig at være en komponent i Internet Explorer, som Microsoft faktisk fiksede i midten 2011, men åbenbart bare ikke godt nok," forklarer sikkerhedseksperten.

Kan ramme dig på dit favoritsite

Sårbarheden i Internet Explorer kan blandt bruges til såkaldte drive-by-angreb, hvor en intetanende bruger går ind på en hjemmeside, som man normalt stoler på.

Hvis denne hjemmeside er blevet hacket - eksempelvis ved, at en hacker har købt adgang til ftp-brugernavn og -password via internettets allermørkeste fora for kriminelle - kan angriberen skyde skadelig kode ud på den besøgendes computer.

Når denne kode lokalt på din computer er aktiveret kan den potentielt fjernstyre din computer, stjæle dine filer og forretningshemmeligheder.

Peter Kruse forklarer, at flere steder kan it-kriminelle ligefrem købe stakkevis af ftp-brugernavne og -passwords til hjemmesider, hvor der så kan lægges skadelig kode ind, som de kan bruge via sikkerhedshullet i Internet Explorer version 7, 8 og 9.

Faktisk kan man også købe sig adgang til en service på hackerhjemmesider, hvor der automatisk bliver uploadet skadelige kode til alle de ftp-brugernavne og -passwords, som man har købt.

"Jo flere brugernavne og password en it-kriminel kommer i besiddelse af, des mere bliver den skadelige kode spredt, og derfor kan dette sikkerhedshul i Internet Explorer potentielt ramme mange og meget hårdt," fortæller han.

Nøgen kvinde afpresset

Sikkerhedseksperten fra CSIS har kendskab til en dansk sag med et drive-by-angreb, hvor en kvinde loggede på Facebook for at chatte.

Her er Micrsosofts hjælp til at lappe hullet

Via et skadeligt link fra sin chatkammerat havde hun intetanende givet vedkommende adgang til hendes computer og dermed også webcam, som blev tændt under chatten, der efterhånden fik en mere og mere lummer karakter.

Kvinden blev blandt andet under chatten overtalt til at smide tøjet, mens webcam'et filmede det hele.

Siden blev kvinden afpresset til at betale, hvis den først lumre og siden lumpne chatkammerat ikke skulle afsløre nøgenbillederne for kvindens mand.

"Vi ser flere og flere eksempler på afpresning, når der er skadelig kode lokalt på folks computere," forklarer Peter Kruse og fortæller også om flere eksempler på, at virksomheder har fået stjålet vitale informationer op til aflæggelsen af deres årsregnskab.

Disse tal er ifølge Peter Kruse sandsynligvis blevet brugt til "insider-handel" på børsen eller til at presse penge ud af selskaberne.

Fikser problemerne

Han fortæller, at selvom sikkerhedsfirmaerne allerede er i gang med at bygge signaturer til at detektere og advare om det aktuelle hul i Internet Explorer, så er det producenten, der i sidste ende skal fikse problemet.

Det vil sige, at pilen peger på Microsoft, der normalt kommer sine sikkerhedsopdateringer 'patch-Tuesday', der er den anden tirsdag i måneden.

Da der er tre uger til, at Microsoft sender sine sikkerhedsopdateringer ud til sine kunder, forventer Peter Kruse, at der bliver udsendt helt ekstraordinært lappegrej til Internet Explorer-brugerne.

"Alt andet ville være utroværdigt," lyder skudsmålet fra CSIS-sikkerhedseksperten.

Hos Microsoft forsøger selskabet at dæmpe gemytterne over det nyopdagede og dermed potentielt meget farlige sikkerhedshul i en af verdens mest brugte browsere, som ifølge FDIM bliver brugt af over halvdelen af danskerne.

"Vi er opmærksomme på, at målrettede angreb muligvis kan ramme nogle versioner af Internet Explorer," forklarer Yunsun Wee, der er chef for Microsoft Trustworthy Computing.

Han forklarer, at softwareselskabet har skrevet mere om problematikken på sin sikkerhedsblog og understreger samtidig, at Microsoft seneste browser, Internet Explorer 10, ikke er ramt af 0-dagssårbarheden. 

"Vi tager skridt til yderligere handlinger, når det er passende. Mens angrebene stadig er meget begrænsede, så vil vi anbefale, at vores kunder implementerer Microsofts Enhanced Mitigation Experience Toolkit (EMET) 3.0, som giver effektiv beskyttelse uden at skade browser-oplevelsen," lyder det i en officiel udmelding fra Microsoft.

Læs også:
0-dags-sårbarhed fundet i Flash og Internet Explorer

Internet Explorer taber terræn til rival-browser




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Edgemo A/S
Salg af hardware, software, konsulentydelser og services inden for virtualiseret infrastruktur, cloud, datacenteret og unified communication.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Summit 2021

En moderne digital vindervirksomhed bringer nye teknologier i spil, skaber digital innovation, udnytter data som styringsværktøj og ser verden som én stor markedsplads. Men succes kræver, at du ved, hvor den dyre teknologi kan gøre den største forskel i forretningen. Den kræver, at du ved i hvilken retning den øgede politiske regulering af teknologi og data bevæger sig hen. Og den succes kræver, at du kan udnytte teknologien til at automatisere og skalere til gavn for bundlinjen og budgettet.

26. oktober 2021 | Læs mere


Sats på DevOps og få mere kvalitet og hastighed i både udvikling og drift

Der er mange potentielle gevinster at hente ved at satse på DevOps. Rigtig mange danske virksomheder er allerede i gang. På denne konference får du et indblik i mulighederne med DevOps og gode råd, der kan sikre dig succesen.

02. november 2021 | Læs mere


CIO Trends 2021: Sådan ser teknologiradaren ud hos Danmarks bedste CIOs

Teknologien i virksomheder spiller i den grad en større og større rolle, hvor vi er nødt til at stille endnu større krav til, hvordan vi udnytter den, og hvilke muligheder den giver. Spørgsmålet er dog, hvordan man formår at lede en virksomhed, der konstant skal forholde sig til teknologiens forandringer.

16. november 2021 | Læs mere