Aanvallers hebben de toolbar van Ask.com afgelopen december weer gebruikt voor het verspreiden van malware, net zoals een maand eerder ook al gebeurde, zo is nu pas bekend geworden. De toolbar, die onder andere via Oracle's Java werd geïnstalleerd, is zelf omstreden software en wordt door sommige experts als adware of potentieel ongewenste software bestempeld.

Net als bij het eerste incident in november hebben de aanvallers ook in december het updatemechanisme van de toolbar gebruikt om kwaadaardige updates te verspreiden die malware bleken te bevatten, zo meldt beveiligingsbedrijf Carbon Black. De Ask Toolbar accepteert alleen gesigneerde software-updates. Zowel in november als december wisten de aanvallers hun malware door Ask.com gesigneerd te krijgen zodat ze die via de updatefunctie konden verspreiden.

Eenmaal actief heeft de verspreidde malware volledige controle over het systeem. Een aanvaller hoeft daarbij niet zijn rechten te verhogen, aangezien de Ask.com updatetool al met systeemrechten draait. Op besmetten systemen gebruikten de aanvallers hun toegang om zich via gestolen inloggegevens lateraal door het netwerk te bewegen en aanvullende tools en malware te installeren. Volgens Carbon Black gaat het waarschijnlijk om een aanval die door een "geraffineerde aanvaller" is uitgevoerd.

Het beveiligingsbedrijf stelt verder dat de hack laat zien hoe potentieel ongewenste software, toolbars en browserextensies het aanvalsoppervlak van een organisatie vergroten, er meer noodzaak is om gebruikers bewust te maken en dat ongewenste programma's meteen moeten worden verwijderd.