微軟發佈零時差攻擊警告 稱不需要緊急修補

微軟公司 (Microsoft) 於本週三 (11/3) 表示，調查報告中所謂的各版本瀏覽器均有弱點，指的是從 IE6 到 IE8 的各個版本，並不包含 IE9 在內。

微軟公司在資安通報中指出，這次的弱點源自於 Internet Explorer 瀏覽器中的無效標籤參考。在某些特定條件下，一旦刪除某個物件，就會連結過去，讓駭客利用這個漏洞，取得下載並執行遠端程式的權力。

已開放使用的 IE9 測試版目前仍未受影響。

微軟公司指出，資料執行保護 (DEP: Data Execution Prevention) 技術包含在 IE8 與防護模式 (Protected Mode) 當中，Windows Vista 與 Windows 7 作業系統中均已內建，將有助於減輕其資安漏洞所構成的威脅。

根據微軟資安回應中心部落格的貼文，其社群經理 Jerry Bryant 表示，惡意程式碼僅在單一網站發現，之後就沒有再出現。他指出，這次的情況還沒有那麼嚴重，不需要立刻發佈緊急修補程式。

Rapi7d 資安長 HD Moore，同時也是專門研究漏洞攻擊的 Metasploit 網站首席架構師，他在一封電子郵件中表示，和這次的手法相比，倘若真要發動攻擊，還有其他更好的選擇。

針對分析結果，賽門鐵克 (Symantec) 安全研究人員 Vikram Thakur 提醒，此次的惡意軟體作者已鎖定某些個人或目標組織團隊。受害者會收到一封電子郵件，連結到遭惡意軟體感染之合法網頁。使用者一旦遭造訪該網頁，駭客便可透過瀏覽器的漏洞，從遠端遙控發動攻擊。

根據已捕捉到的受攻擊之惡意程式碼的網路流量快照顯示，Thakur 認為，這次的攻擊，部分是由個人來操控，而不是寫好一整套劇本。看看這些指令，就知道那很明顯是有某個人從遠端電腦輸入這些指令來啟動。