Internet Explorer vam otežava život "iz groba", evo kako

Microsoft se, inače, 2015. godine oprostio od Explorera, ali ga time nije uklonio već samo onemogućio u Windows operativnim sistemima.

U praksi, to znači da Internet Explorer još uvek vreba unutar sistema iako korisnici ne mogu da ga pokrenu kao samostalni pretraživač. Zbog toga, sve nove ranjivosti pronađene u ovom nefunkcionalnom pretraživaču i dalje mogu predstavljati pretnju za korisnike Windowsa, čak i za one koji godinama nisu otvorili Internet Explorer.

Ranjivost o kojoj je ovde reč nosi oznaku CVE-2024-38112. To je greška u MSHTML endžinu, koji pokreće Internet Explorer. Ranjivost ima ocenu 7,5 od 10 na CVSS 3 skali i "visok" nivo ozbiljnosti.

Da bi iskoristili ranjivost, napadači moraju da naprave zlonamerni fajl koji sadrži link sa mhtml prefiksom. Kada korisnik otvori ovaj fajl, Internet Explorer, čiji sigurnosni mehanizmi nisu baš najbolji, se pokreće umesto podrazumevanog pretraživača, navodi antivirus kompanija Kaspersky.

Kako su napadači iskoristili CVE-2024-38112?

Napad počinje tako što se korisniku šalje .url fajl sa ikonom koja se koristi za PDF-ove i dvostrukom ekstenzijom .pdf.url. Korisniku ovaj fajl izgleda kao prečica do PDF-a, dakle, naizgled bezopasno. Ako korisnik klikne na fajl, ranjivost CVE-2024-38112 se iskorišćava. Zbog mhtml prefiksa u .url fajlu, otvara se u Internet Exploreru, a ne u podrazumevanom pretraživaču sistema.

Problem je u tome što u odgovarajućem dijaloškom okviru Internet Explorer prikazuje ime istog .url fajla koja se pretvara da je PDF prečica. Stoga je logično pretpostaviti da će se nakon klika na „Otvori“ prikazati PDF. Međutim, u stvarnosti, prečica otvara link koja preuzima i pokreće HTA fajl.

Kada se ovaj fajl pokrene, Internet Explorer prikazuje ne baš informativno upozorenje u formatu poznatom korisnicima Windowsa, koje će mnogi jednostavno odbaciti.

Kada korisnik klikne na "Dozvoli", malver infostealer se pokreće na računaru, prikuplja lozinke, kolačiće, istoriju pregledanja, ključeve kripto novčanika i druge vredne informacije sačuvane u pretraživaču i šalje ih na server napadača.

Kako se zaštititi od CVE-2024-38112?

Microsoft je već zakrpio ovu ranjivost. Instaliranje ažuriranja osigurava da trik sa mhtml-om u .url fajlovima više neće funkcionisati, i da se takvi fajlovi otvaraju u bezbednijem pregledaču Edge.

Međutim, ovaj incident još jednom podseća da će "pokojni" pretraživač nastaviti da proganja korisnike Windowsa još neko vreme. Zbog toga je preporučljivo da odmah instalirate sva ažuriranja vezana za Internet Explorer i MSHTML endžin, kao i da koristite pouzdana bezbednosna rešenja na Windows uređajima.