Cisco kom denne uken med en advarsel om at kyberangrep som utnytter Microsofts Silverlight-teknologi har økt kraftig den siste måneden. Angrepene er en del av en spesifikk kampanje basert på Angler Exploit Kit.
Angrepskoden er laget for også å utnytte sårbarheter i Flash og Java, men Cisco registrerer nå at de Java-baserte angrepene ikke lenger fungerer. Dette tyder på at mange har installert nyere Java-versjoner som krever at brukeren må klikke i en dialogboks før Java-koden kan kjøres. Observasjonene tyder derfor på at slike virkemidler faktisk virker.
Dette er nok også bakgrunnen for at utnyttelse av Silverlight-sårbarheter nå er inkludert i skadevaren. Også Microsofts plugin-teknologi har den fordelen (sett med øynene til angriperne) at den er tilgjengelig på tvers av flere plattformer.
– Vi bør regne med at disse, eksisterende Silverlight-angrepskodene vil forøkes gjennom andre familier med angrepspakker i nær framtid, ettersom utviklerne kopierer kode fra hverandre og utgir oppdateringer. Angrepskode for Silverlight er dessuten ideell fordi Silverlight fortsetter å vinne markedsandeler blant rike internett-applikasjoner, og kanskje passerer Javas, og Microsofts tidsplan for livssyklusen til Silverlight 5 antyder at den vil bli støttet fram til oktober 2021, heter det i blogginnlegget fra Cisco.
Ciscos tall, som er hentet fra DNS-servere, viser at kampanjen må anses som en stor suksess selv om bare ti prosent av angrepene faktisk fungerer. Sårbarhetene som utnyttes er nemlig ikke nye, men kan utnyttes fordi mange fortsatt unnlater å installere sikkerhetsoppdateringer til programvaren så snart disse foreligger. Begge de to Silverlight-sårbarhetene som nå utnyttes (CVE-2013-0074 og CVE-2013-3896), er fra i fjor. Silverlight kan oppdateres via Microsoft Update eller ved å laste ned den nyeste versjonen her. Men dersom man ikke har behov for Silverlight eller andre plugins på datamaskinen, bør de avinstalleres i stedet.
Hvor lenge og i hvilken grad dette vil kunne fortsette, avhenger av hvilken nettleser man bruker. Google kommer til å slutte av støtte tradisjonelle plugins i Chrome i løpet av året. Da vil verken Silverlight eller Java fungere lenger. Flash Player er derimot innebygd i Chrome og berøres ikke av dette.
Mozilla går ikke fullt så langt, men krever allerede at brukeren aktiverer kjøringen av plugins på hvert nye nettsted som besøkes med Firefox.
