Bei dem im September veröffentlichten Patch für den Internet Explorer wurde auch eine Sicherheitslücke behoben, die Angreifer in einer ausgeklügelten Attacke gegen US-amerikanische Militärgeheimnisse nutzten.

Ein Proof-of-Concept-Exploit für die XMLDOM-Lücke wurde zuerst im April 2013 veröffentlicht. Microsoft nannte diese cve-2013-7331. Der PoC wurde dann im Februar dieses Jahres „zweckentfremdet“ und gegen die Webseite der US Veterans of Foreign Wars (VFW) verwendet. Dies berichtet Kurt Baumgartner von Kaspersky Lab.

Experten gehen davon aus, dass die Angreifer darauf hofften, die Computer von aktiven Militärs zu infizieren, wenn diese die Seite besuchen. Ziel war es letztendlich, wertvolle Informationen zu stehlen. VFW hat 1,4 Millionen Mitglieder, von denen 75.000 immer noch aktiv sind.

Die professionellen Hacker präparierten die Seite mit einem Zero-Day-Exploit, der XMLDOM und  die Sicherheitslücke des Internet Explorers ausnutzte. XMLDOM wurde dabei dazu verwendet, herauszufinden, ob das Windows-System Microsofts Enhanced Mitigation Experience Toolkit (EMET) nutzt.

Microsoft über XMLDOM:

„Wenn der Antwortcode negativ ausfällt, bedeutet das, dass EMET nicht verwendet wird. Daraufhin kann der Angreifer mit dem Exploit fortfahren.“

War EMET nicht vorhanden, dann luden die Angreifer eine Backdoor namens „ZxShell“ herunter. ZxShell nutzt eine Day-Zero-Schwachstelle, um Dateien von den Computern der Betroffenen zu stehlen, so Sicherheitsexperten von FireEye.

ZxShell kontaktierte eine Webseite unter einer IP-Adresse, die in Zusammenhang mit zwei anderen Hacker-Kampagnen steht. Diese sind Operation DeputyDog und Operation Ephemeral Hydra, so FireEye. Bei beiden wird vermutet, dass sie auf chinesische Hacker zurückzuführen sind.

Ein anderer von Microsoft veröffentlichter Patch behob ein Überbleibsel der Day-Zero-Schwachstelle, die durch Stuxnet ausgenutzt wurde. Stuxnet wurde 2010 entdeckt und zielte auf die Zerstörung von Zentrifugen iranischer Nuklearanlagen ab. Die USA und Israel zeichneten für diese Attacke verantwortlich.

Artikel von csoonline.com, 11.09.2014: Microsoft patch fixed IE flaw used against U.S. military