“Tiết lộ lỗi IE7 là một sai lầm”

Lỗi được phát hiện đầu tiên bởi nhóm nghiên cứu bảo mật Knownsec của Trung Quốc. Hồi đầu này nhóm đã cho công bố đầy đủ chi tiết lỗi. Và một ngày sau đó nhóm này tiếp tục công bố mã khai thác vởi họ nghĩ rằng Microsoft đã cho khắc phục.

“Đó là một sai lầm của chúng tôi,” nhóm nghiên cứu Knownsec khẳng định trong một bài viết trên trang blog chính thức của nhóm này. 

Thị trường chợ đen của giới tội phạm mạng trong tháng 11 vừa qua đã sôi sục vì những thông tin đầu tiên về lỗi bảo mật được Knownsec phát hiện. Khi đó những thông tin về lỗi này được giao bán với giá 15.000 USD. Mã khai thác lỗi được công bố sau này cũng được trao đổi với giá 650 USD.

Nếu khai thác thành công lỗi này tin tặc có thể tạo ra được những website độc hại có khả năng bắt cóc PC của người dùng. Lỗi có tác dụng với phiên bản IE7 chạy trên nền hệ điều hành Windows 2000 SP4, Windows XP SP2, Windows Server 2003 SP1 và Windows Server 2003 SP2. Hiện Microsoft cũng đã xác thực lỗi này.

Knownsec cho biết hiện đã có kẻ lợi dụng những thông tin mà công bố để phát triển thành công một con Trojan nhìn bề ngoài có vẻ như vô hại nhưng thực tế lại hoàn toàn khác xa như thế. Chức năng chính của con Trojan này là ăn cắp thông tin tài khoản game online của người dùng Trung Quốc.

Số lượng website được cấy mã khai thác lỗi hiện đang ngày một tăng nhanh. Tin tặc cũng đang tìm đủ mọi cách để dụ người dùng truy cập vào những website này. Cách thức phổ biến vẫn là phát tán đường liên kết qua tin nhắn tức thời và thư rác (spam).

Không những thế các chuyên gia bảo mật còn phát hiện tin tặc cũng đã cấy mã khai thác lỗi lên những website mà chúng chiếm được quyền kiểm soát thông qua khai thác lỗi SQL Injection. Số lượng các website bị tấn công và lây nhiễm mã độc như thế này tính từ đầu năm tới nay đã lên tới con số hàng trăm nghìn. Thậm trí trong số này cũng có không ít website của các đơn vị tổ chức hợp pháp.

Hãng bảo mật iDefense khẳng định lỗi bảo mật IE7 phát hiện lần này là một lỗi thực sự rất nguy hiểm bởi hiện chưa có bất kỳ bản sửa lỗi nào được Microsoft phát hành. Người dùng lúc nào cũng có nguy cơ bị tấn công nếu như họ vô tình truy cập vào những website độc hại.

Hầu hết các chuyên gia nghiên cứu bảo mật đều cho rằng rất có thể Microsoft sẽ cho phát hành bản sửa lỗi IE7 cùng với bản cập nhật định kỳ tháng 1/2009. Nếu điều này là sự thực thì có nghĩa rằng tin tặc sẽ có được cả một tháng trời để tổ chức tấn công người dùng.

iDefense cho biết hiện người dùng không có nhiều lựa chọn để tự bảo vệ mình. Chỉ có một cách duy nhất là nên tạm thời chuyển sang sử dụng một loại trình duyệt khác trong thời gian chờ đợi bản sửa lỗi chính thức từ phía Microsoft.