在水坑攻击中使用了新的零时差目标内存

安全公司FireEye的研究人员警告说，攻击者正在通过Internet漏洞利用Internet Explorer中的严重漏洞。 被诱骗访问受感染网站的用户会受到恶意软件的攻击，这种恶意软件会以经典的“过路”攻击方式感染计算机的内存。

FireEye在上周的分析中说，攻击者已将利用Internet Explorer中至少两个零日漏洞的恶意代码嵌入到“一个具有战略意义的网站中，该网站可吸引可能对国家和国际安全政策感兴趣的访问者”。 FireEye除了位于美国以外，没有发现该站点。

FireEye研究人员写道：“该漏洞利用一个新的信息泄漏漏洞和一个IE越界内存访问漏洞来实现代码执行。” “这是一种以各种不同方式利用的漏洞。”

该漏洞存在于在Windows XP或Windows 7上运行的Internet Explorer 7、8、9和10中。尽管当前攻击的目标是在Windows XP和Windows 8上运行的英文版本的Internet Explorer 7和8。 FireEye说，可以将其更改为其他版本和语言。

异常复杂的APT

FireEye表示，这次高级持续威胁（APT）运动使用的是与先前针对日本和中国目标的APT攻击中使用的命令和控制服务器相同的命令和控制服务器，称为“代理狗”行动。 FireEye发现，此APT非常复杂，因为它分发仅在计算机内存中运行的恶意有效负载。 由于它不会将自身写入磁盘，因此很难在受感染的计算机上检测或找到法医证据。

FireEye说：“通过利用战略性的Web折衷方案以及内存中的有效载荷传递策略和多种嵌套的混淆方法，该活动被证明是异常出色和难以捉摸的。”

但是，由于无盘恶意软件完全驻留在内存中，因此只需重新启动计算机即可消除感染。 FireEye研究人员写道，攻击者似乎并不担心会持续存在，这表明攻击者“确信他们的预期目标只会重新访问受感染的网站并受到重新感染”。

这也意味着攻击者正在快速移动，因为他们需要通过网络到达其他目标或在用户重新启动计算机并清除感染之前找到所需要的信息。 Tripwire的安全研究员Ken Westin说：“一旦攻击者进入并提升特权，他们就可以部署许多其他方法来建立持久性。”

安全公司Triumfant的研究人员声称无盘恶意软件有所增加，并将这些攻击称为“高级易失性威胁（AVT）”。

与办公室缺陷无关

最新的Internet Explorer零日漏洞是在上周还报告的Microsoft Office中的一个严重漏洞之后发布的。 Microsoft Windows和Office如何访问TIFF图像的缺陷与此Internet Explorer错误无关。 虽然攻击者已经在利用Office bug，但大多数目标都在中东和亚洲。 鼓励用户安装FixIt，它会限制计算机在等待永久性修补程序时打开图形的能力。

FireEye已将该漏洞通知Microsoft，但Microsoft尚未对该漏洞进行公开评论。 尽快在明天的Patch Tuesday版本中解决此错误的可能性很小。

最新版本的Microsoft EMET（增强的缓解体验工具包）​​成功地阻止了针对IE漏洞以及Office漏洞的攻击。 组织应考虑安装EMET。 用户还可以考虑升级到Internet Explorer版本11，或使用Internet Explorer以外的浏览器，直到修复该错误为止。

XP问题

最新的水坑活动还重点介绍了攻击者如何针对Windows XP用户。 Microsoft一再提醒用户，它将在2014年4月之后停止提供Windows XP的安全更新，并且用户应升级到较新版本的操作系统。 安全研究人员认为，许多攻击者都坐在XP漏洞的缓存上，并相信在Microsoft终止对老化的操作系统的支持之后，将会有针对Windows XP的攻击浪潮。

独立安全研究人员Graham Cluley在博客中写道：“不要拖延–如果您重视安全性，请尽快从Windows XP升级到其他版本。”