Η Microsoft διόρθωσε μια σειρά θεμάτων στα λειτουργικά της συστήματα, στα οποία συμπεριλαμβανόταν επίσης ένα patch για το bug του Silverlight, την πλατφόρμα εφαρμογών της εταιρείας που είναι αντίστοιχη του Flash.
Σύμφωνα με την Kaspersky, δύο από τους ερευνητές ασφαλείας της εταιρείας, οι Costin Raiu και Anton Ivanov, αποκάλυψαν ένα Silverlight zero-day bug στο 400GB δεδομένων που αποτελούν αντικείμενο online ντάμπινγκ, μετά την παραβίαση της Hacking Team, τον Ιούνιο του 2015.
Αρχικά υποψιάστηκαν από ένα email που συμπεριλαμβανόταν στα δεδομένα της Hacking Team, το οποίο δημοσιεύθηκε αργότερα σε ένα άρθρο της ArsTechnica.
Hacker προσπάθησε να πουλήσει το Silverlight στη Hacking Team
Το email ήταν από έναν Ρώσο hacker που ονομάζεται Vitaliy Toropov, που έγραφε στη Hacking Team, ρωτώντας αν ενδιαφερόταν για την αγορά zero-day σε εφαρμογές όπως το Flash, το Silverlight, το Java ή το Safari.
Σύμφωνα με τα δημοσιευμένα emails, o Toropov αποκάλυψε ότι είχε στην κατοχή του ένα Silverlight zero-day 2,5 ετών, το οποίο είχε τη δυνατότητα να κρατήσει απόρρητο για μερικά ακόμη χρόνια.
Οι ερευνητές της Kaspersky σύντομα ήταν σε θέση να βρουν ότι ο κωδικός εκμετάλλευσης του Silverlight ανήκε στον Toropov στο Packet Storm Security portal..
Το zero-day bug χρησιμοποιήθηκε στις ζωντανές επιθέσεις του Νοεμβρίου
Σύμφωνα με την Kaspersky, το αρχείο που προκάλεσε την προειδοποίηση ασφάλειας συντάχθηκε στις 21 Ιουλίου του 2015, μόλις λίγες εβδομάδες μετά την επίθεση στη Hacking Team.
Όταν αξιοποιηθεί μέσω ενός προγράμματος περιήγησης στο Web, το bug επιτρέπει σε έναν εισβολέα να αποκτήσει τα ίδια δικαιώματα που έχει και ο χρήστης στον μολυσμένο υπολογιστή. Αν και δεν είναι μια επικίνδυνη απειλή από μόνο του, το bug μπορεί να συνδεθεί με άλλα zero-day και να χρησιμοποιηθούν για την πραγματοποίηση πιο επικίνδυνων επιθέσεων.
Αν και οι ερευνητές δεν μπορούν να είναι σίγουροι ότι αυτό είναι το ακριβές zero-day που ο Toropov προσπάθησε να πουλήσει στην Hacking Team, ξέρουν ότι είναι έργο του Toropov, καθώς και ότι έχει διορθωθεί τώρα, χάρη στις προσπάθειές τους και στο προσωπικό ασφαλείας της Microsoft.
