Les utilisateurs d’Internet Explorer sont une nouvelle fois sous la menace d’une attaque malveillante pour laquelle aucun correctif n’est disponible. Microsoft vient de les en informer à travers un bulletin de sécurité en ligne, relayé par plusieurs sites de sécurité (voir ici par exemple).
La faille découverte touche toutes les versions du navigateur, les 6, 7 et 8, à l’exception d’IE9, en cours de développement et dont une bêta est disponible. Elle permet à un pirate d’exécuter du code à distance sur une machine vulnérable.
La menace est bien réelle, souligne Microsoft qui mentionne un seul site exploitant cette faille. L’attaque se déroule lors de la visite d’une page piégée, selon un mode opératoire détaillé par l’éditeur Symantec. Tout commence par un e-mail (en anglais) invitant les victimes à cliquer sur un lien relatif à une réservation d’hôtel. Celles-ci sont alors envoyées sur une page contenant un script ciblant les versions d’IE vulnérables.
A l’issue de l’opération, un logiciel malveillant est installé de manière transparente sur les PC des victimes, permettant à un pirate d’installer et d’exécuter ses propres logiciels et d’ouvrir une porte dérobée afin d’établir silencieusement des contacts avec un serveur basé en Pologne.
Des parades existent
L’éditeur relativise toutefois le risque : le site en question a été nettoyé du code malveillant et à sa connaissance, aucun utilisateur n’en a été victime.
Par ailleurs, les internautes ne sont pas totalement démunis face à cette attaque, même si aucune rustine logicielle n’a encore été proposée pour combler la faille affectant IE. La version 8 du navigateur est à l’abri de la menace, à condition que le réglage par défaut de la fonction DEP (Data Execution Prevention) n’ait pas été modifié. Le géant de Redmond indique également comment mettre en œuvre une parade sur les autres versions de son logiciel de navigation.
Une solution de contournement de la faille est proposée en ligne pour toutes les éditions d’Internet Explorer. L’appliquer est recommandé en attendant la publication éventuelle d’un correctif dans le cadre du cycle de mise à jour mensuelle ou d’une mise à jour exceptionnelle.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
