Microsoft heeft een nieuwe techniek ontdekt die een groep cyberspionnen toepast om bij gehackte overheden, bedrijven en organisaties soms jaren onopgemerkt te blijven. De techniek wordt "hotpatching" genoemd en was voor zover bekend nog nooit bij echte aanvallen waargenomen, tot nu toe.

Hotpatching is een techniek voor het installeren van updates zonder dat een proces moet worden herstart. Microsoft omschrijft het als een niet ondersteunde feature van Windows waarmee het mogelijk is om patches voor uitvoerbare bestanden en dll-bestanden te installeren die actief in gebruik zijn. Om de feature te kunnen gebruiken zijn beheerdersrechten vereist.

De mogelijkheid om hotpatching toe te passen verscheen voor het eerst in Windows Server 2003 en is gebruikt voor het uitrollen van 10 patches voor dit besturingssysteem, aldus Microsoft. In het geval van de nu waargenomen aanvallen maakt hotpatching het voor een aanvaller mogelijk om detectie door virusscanners te voorkomen en backdoors te verbergen. Sommige van de aangevallen organisaties zouden al jaren zijn gehackt voordat de spionnen werden ontdekt.

De groep die deze techniek toepast wordt door Microsoft 'Platinum' genoemd. De softwaregigant vernoemt cyberspionagegroepen naar chemische elementen. Platinum is sinds 2009 actief en heeft het voorzien op overheidsorganisaties, defensie-instituten, inlichtingendiensten en telecomproviders in Zuid- en Zuidoost-Azië. Daarbij is de groep niet uit op direct financieel gewin, maar wordt er informatie gezocht voor indirecte economische voordelen.

Hotpatching

Het theoretisch gebruik van hotpatching is al verschillende keren door beveiligingsonderzoekers besproken (pdf), maar de techniek werd voor het eerst op een besmette Windowscomputer in Maleisië waargenomen. Via hotpatching wisten de cyberspionnen langere tijd toegang tot het netwerk van de aangevallen bedrijven te behouden, zonder te worden opgemerkt. Via de techniek wisten de aanvallers namelijk hun backdoor in het systeem voor de aanwezige beveiligingssoftware te verbergen.

Om in eerste instantie toegang tot bedrijven en organisaties te krijgen maken de aanvallers gebruik van verschillende aanvalsmethodes, waaronder zero day-exploits en spear phishing. Het gaat zowel om spear phishingmails gericht tegen de bedrijven en organisaties zelf, maar ook worden individuele privé-accounts van medewerkers aangevallen, die vervolgens als springplank kunnen dienen.

Maatregelen

In een uitgebreid rapport (pdf) over de groep geeft Microsoft het advies om beveiligingsupdates snel uit te rollen, macro's uit te schakelen, een goede firewall te gebruiken en het personeel te trainen. Hoewel de groep soms aanvallen uitvoert waar nog geen updates voor beschikbaar zijn, de zogeheten zero day-exploits, is nog steeds de hulp van de gebruiker vereist. Het gaat dan om het openen van een document of link. "Securitytraining kan het bewustzijn vergroten en het risico van deze aanvalsvector verkleinen", aldus Microsoft. Verder wordt aangeraden om op Windows 10 over te stappen. Hotpatching en verschillende andere aanvalstechnieken die Platinum toepast zouden namelijk niet op de nieuwste Windowsversie werken.