Des pirates russes ont compris qu'une faille critique et non corrigée dans le VML (Vector Markup Language) d'Internet Explorer était une opportunité à ne pas rater pour lancer des attaques

Des pirates russes ont compris qu'une faille critique et non corrigée dans le VML (Vector Markup Language) d'Internet Explorer était une opportunité à ne pas rater pour lancer des attaques

Les pirates qui exploitent cette vulnérabilité dans Internet Explorer utilisent des sites pornographiques pour diffuser des fichiers-espions.

Le code malveillant, signalé pour la première fois par des chercheurs du Sunbelt Software, exploite une faille dans le code VML du fureteur de Microsoft, un langage XML, utilisé pour créer des graphismes vectoriels et les diffuser sur le Net.

Comme le souligne Eric Sites, le vice président à la recherche de Sunbelt, «le pire est que cette attaque fonctionne sur toutes les versions de Windows utilisant IE 6»

Le groupe a découvert pour la première fois cette menace le vendredi 15 septembre 2006, depuis, d'autres sites ont été mis à jour. Ils utilisent tous un exploit Kit nommé Web Attacker, et il semble que cet outil a été récemment upgradé pour permettre l'utilisation de cette faille dans IE.

En moins de cinq jours, le code s'est propagé. Sunbelt indique que le code d'attaque est présent sur près de 12 sites russes à caractère pornographique. Notons également que selon la firme de sécurité, l'outil Web Attacker serait utilisé par prs de 1000 sites.

Web Attacker est disponible sur les sites sécurisés des pirates pour la modique somme de 20 dollars.

Ce qui fait dire à Sites que «cette chose devrait être partout assez rapidement». Un constat angoissant, mais qui aura au moins le mérite de presser un peu le mouvement du côté de la firme de Redmond qui tarde à publier un correctif.

Microsoft a d'ailleurs déclaré hier qu'une publication corrigeant la faille dans le code VML serait disponible le 10 octobre.

Pour l'instant, il n'existe qu'une solution radicale pour se protéger, empêcher l'exécution de JavaScript avec IE.