Duizenden gebruikers van Opera zijn mogelijk met malware besmet geraakt nadat aanvallers een certificaat van de browserontwikkelaar wisten te stelen en vervolgens gebruikten voor het signeren van een valse update. Dat laat Opera op het eigen weblog weten. De Noorse browserontwikkelaar stelt dat het op 19 juni een aanval op het interne netwerk ontdekte en stopte.

De systemen zouden inmiddels zijn schoongemaakt en er is geen bewijs dat de aanvallers gebruikersgegevens hebben buitgemaakt. Wel wisten de aanvallers een oud en verlopen certificaat van Opera te stelen wat voor het signeren van programma's wordt gebruikt. Gesigneerde code laat gebruikers onder andere controleren van wie de software afkomstig is.

Valse update
In dit geval gebruikten de aanvallers het gestolen certificaat om malware te signeren en te verspreiden. De malware gaf ten onrechte weer dat het door Opera Software was gesigneerd, of dat het om de Opera browser zou gaan. Volgens de browserontwikkelaar is het mogelijk dat een 'paar duizend' Windowsgebruikers die Opera op 19 juni gebruikten automatisch de malware hebben ontvangen en geïnstalleerd.

Opera gaat een nieuwe versie uitrollen die van een nieuw certificaat is voorzien om code te signeren. Wat de mogelijk getroffen gebruikers betreft krijgen die het advies om hun computer te scannen.

Volgens VirusTotal wordt de malware door 27 van de 47 virusscanners herkend. Hoe de aanvallers toegang tot het netwerk van Opera wisten te krijgen is nog onbekend. De Noorse browser heeft wereldwijd al jarenlang een aandeel van rond de één procent.

Methode
Gisteren werd bekend dat aanvallers in Zuid-Korea een soortgelijke aanvallen hebben uitgevoerd. Daar werd een online opslagdienst vergelijkbaar met Dropbox gehackt. De aanvallers gebruikten vervolgens het automatische updatesysteem om malware naar de computers van gebruikers te sturen die de software van de opslagdienst hadden geïnstalleerd.

Met dank aan Peter voor de tip