IE exploit distribue des logiciels malveillants PlugX, disent les chercheurs

Des chercheurs du fournisseur de sécurité AlienVault ont identifié une variante d'un exploit Internet Explorer récemment découvert qui est utilisé pour infecter des ordinateurs ciblés avec le programme RAT (PlugX). La variante d'exploit récemment découverte cible la même vulnérabilité non corrigée dans IE 6, 7, 8 et 9 que l'exploit original, mais utilise un code légèrement différent et une charge utile différente, a déclaré mardi Jaime Blasco, responsable d'AlienVault Labs. Le premier exploit a été retrouvé ce week-end sur un serveur malveillant connu par le chercheur en sécurité Eric Romang et distribué le Poison Ivy RAT. La deuxième version exploit découverte par les chercheurs AlienVault a été trouvée sur un serveur différent et installe un programme RAT beaucoup plus récent appelé PlugX.

[Plus d'informations: Comment supprimer les logiciels malveillants de votre PC Windows]

Cependant, les dates de modification des fichiers Les deux serveurs suggèrent que les deux versions de l'exploit ont été utilisées depuis au moins le 14 septembre.

"Nous savons que le groupe utilisant activement le malware PlugX aussi appelé Flowershow a accès à Internet Explorer ZeroDay [exploit ciblant une vulnérabilité non corrigée] jours avant qu'il ne soit découvert ", a déclaré Blasco. "En raison des similitudes entre le nouveau code d'exploitation découvert et celui découvert il y a quelques jours, il est très probable que le même groupe soit derrière les deux instances."

Les chercheurs d'AlienVault suivent les attaques utilisant le RAT PlugX depuis le début de l'année. Basé sur les chemins de débogage de fichiers trouvés dans le malware, ils pensent que le RAT relativement récent a été développé par un pirate chinois connu sous le nom de WHG, qui avait des liens avec le Network Crack Program Hacker (NCPH). > Les chercheurs d'AlienVault ont également identifié deux autres sites Web qui ont servi le nouvel exploit d'IE dans le passé, mais aucune charge utile n'a pu être obtenue à partir d'eux, a déclaré Blasco. L'un était un site de nouvelles de la défense de l'Inde et l'autre était probablement une fausse version du site Web du 2ème colloque professionnel international de LED, il a dit. (Voir aussi "Applications Web malveillantes: Comment les repérer, comment les battre.")

"Il semble que les gars derrière ce jour visaient des industries spécifiques", a déclaré Blasco.

Le serveur où l'exploit original d'IE a été trouvé également stocké un exploit pour une vulnérabilité Java non corrigée le mois dernier. Cet exploit Java a été utilisé dans des attaques attribuées par des chercheurs de sécurité à un groupe de pirates chinois surnommé "Nitro".

Microsoft a déjà publié un avis de sécurité sur la nouvelle vulnérabilité IE et recommandé des solutions d'atténuation temporaires.