Silverlight-детектив

«Лаборатория Касперского» обнаружила уязвимость нулевого дня в технологии Silverlight, используемой для отображения мультимедийного контента в интернете. Уязвимость CVE-2016-0034 закрыта в последнем пакете обновлений, выпущенном компанией Microsoft 12 января 2016 года. Обнаружение же ее стало результатом настоящего детективного расследования.

История началась летом 2015 года с публикации новостей о хакерской атаке на компанию Hacking Team и утечке ее данных в сеть. В одном из материалов сообщалось о переписке между представителями Hacking Team и неким русским разработчиком Виталием Тороповым. Торопов, якобы, пытался продать Hacking Team эксплойт под брешь четырехлетней давности в технологии Microsoft Silverlight, которая к тому моменту все еще была не закрыта.

Дополнительных подробностей о самом эксплойте в статье не приводилось, и эксперты «Лаборатории Касперского» начали собственное расследование. Они выяснили, что человек, называвший себя Виталием Тороповым, был активным пользователем открытой базы данных об уязвимостях Open Source Vulnerability Database (OSVDB). Изучив его профиль на сайте OSVBD.org, эксперты обнаружили, что в 2013 году Торопов опубликовал результаты эксперимента, в котором описывалась программная ошибка в технологии Silverlight. Речь шла об известной уязвимости, которая к тому времени уже была закрыта. Однако в описании были упомянуты некоторые детали, которые позволили аналитикам «Лаборатории Касперского» понять, каким образом создатель эксплойтов пишет код.

Используя полученную информацию, исследователи разработали несколько правил детектирования, которые были внедрены в защитные технологии «Лаборатории Касперского». Расчет делался на то, что если Торопов пытался продать эксплойт Hacking Team, то он наверняка предлагал свой продукт и другим разработчикам шпионского ПО. А значит, рано или поздно он будет использован в какой-нибудь кампании кибершпионажа. Расчет оказался верен. Через несколько месяцев после внедрения этих правил детектирования от пользователя защитных продуктов «Лаборатории Касперского» поступила информация о попытке заражения вредоносным файлом, обладавшими как раз теми характеристиками, которые искали эксперты. Проанализировав атаку, эксперты «Лаборатории Касперского» выяснили, что организаторы использовали еще не известную уязвимость в технологии Silverlight. Информация была немедленно передана в Microsoft.

«Сравнив найденный файл с той работой, которую опубликовал на OSVDB Виталий Торопов, мы предполагаем, что за созданием эксплойта и тем экспериментом стоит один и тот же человек, - комментирует Костин Райю, руководитель Глобального центра исследований и анализа угроз «Лаборатории Касперского». - Хотя и не исключаем, что нашли просто еще одну неизвестную уязвимость нулевого дня в Silverlight. Как бы то ни было, наша работа позволила закрыть брешь, а значит, сделала киберпространство немного безопаснее».