Een exploit die misbruik maakt van een nieuw beveiligingslek in Internet Explorer 6, 7 en 8 is aan de populaire hackertool Metasploit toegevoegd. Metasploit is een framework waarmee security-professionals en systeembeheerders de veiligheid van systemen en netwerken kunnen testen, hoewel het ook voorkomt dat cybercriminelen in Metasploit aanwezige exploits voor het aanvallen van internetgebruikers gebruiken.

Afgelopen woensdag werd er een drive-by download-aanval op de website van het Amerikaanse Council on Foreign Relations ontdekt. Het bleek om een geheel nieuwe aanval te gaan die een onbekende kwetsbaarheid in IE6, 7 en 8 gebruikt. Inmiddels zijn er verschillende analyses van het lek en de exploit verschenen. Met deze informatie is nu een exploit voor gebruik in Metasploit ontwikkeld.

Microsoft heeft inmiddels laten weten dat de exploit alleen op kleine schaal is ingezet, maar met het verschijnen van de exploit in Metasploit betekent dat iedereen hier nu toegang toe heeft. Volgens de ontwikkelaars kunnen beheerders door de aanwezigheid van de exploit hun "netwerkverdediging valideren".

Browser
Daarbij heeft Metasploit-ontwikkelaar 'sinn3r' ook nog een boodschap voor gebruikers van een oudere IE-versie. "Wie nog oudere versies van IE gebruikt zoals 8, wat is er mis met je?" Het upgraden naar IE9 en IE10 verhelpt namelijk het probleem, aangezien deze browsers niet kwetsbaar zijn.

Windows XP-gebruikers kunnen echter niet naar deze versies upgraden, aangezien ze niet op Windows XP worden ondersteund. Voor deze gebruikers adviseert sinn3r een alternatieve browser, zoals Google Chrome.

Demonstratie
Ondertussen heeft beveiligingsonderzoeker Eric Romang, die eerder nog voorspelde dat de exploit voor het IE-lek pas in 2013 zou verschijnen, onderstaande demonstratie gemaakt. Romang werkte zelf mee aan de ontwikkeling van de exploit die nu voor alle Metasploit-gebruikers toegankelijk is.

Hoewel de volgende patchdinsdag van Microsoft voor 8 januari gepland staat, sluit Romang niet uit dat Microsoft een noodpatch zal uitbrengen, afhankelijk van hoe snel cybercriminelen de exploit in hun eigen exploit-kits zoals Blackhole en Sweet Orange weten te verwerken.