исполнения JRE 1.7 и более новых версий. Риску не подвержены только компьютеры с версией Java 1.6 и ниже.

Как выяснили эксперты, уязвимость позволяет выполнить любой код на системе клиента, как только браузер откроет зараженную веб-страницу. Этот способ позволяет незаметно внедрить на ПК любой вид вируса, причем не обязательно в виде Java-приложений. Хотя обнаруженные формы эксплойта работают только на Windows-машинах (исполняемый файл передается в формате для Windows), исследователи эксплойта с сайта Metasploit заявили, что им удалось воспроизвести заражение на других системах, включая Linux и Mac OS X – достаточно подобрать формат передаваемого исполняемого файла.

Угрозе подвержены все браузеры, в которых установлен Java-плагин, в том числе, Chrome, Firefox, Internet Explorer, Opera и Safari. Первоисточник эксплойта остается неизвестным, но впервые он обнаружен на сервере из китайского сегмента IP-адресов. Вирус, устанавливаемый с помощью найденного эксплойта, пытается связаться с сервером управления, который, предположительно размещен в Сингапуре.

Компания Oracle, которая сейчас контролирует развитие технологии Java, пока ничего не обещает в части сроков выпуска исправлений. По текущему графику (три раза в год) очередное обновление должно выйти не раньше 16 октября этого года. Переход на более старые версии Java вряд ли поможет пользователям: хотя версии ниже 1.6 не подвержены данной угрозе, они могут содержать множество других дефектов и уязвимостей.

В отсутствие какого-либо официального патча и из-за серьезности проблемы специалисты по антивирусной защите из фирмы DeepEnd Research разработали промежуточное решение, которое должно блокировать исполнение внедряемого кода. Тем не менее, пока оно не прошло достаточного тестирования. Кроме того, поскольку данное решение может привести к созданию новых эксплойтов, если попадет не в те руки, фирма DeepEnd Research пока распространяет его только по индивидуальным запросам системных администраторов из крупных компаний.

Как сообщают исследователи, вредоносные эксплойты были найдены на сервере, с которого банда злоумышленников Nitro, стоявшая за атаками через Java, вела ряд операций. На первых порах было показано, что созданный хакерами ранее неизвестный эксплойт поражает системы Windows XP со всеми исправлениями и обновлениями. В дальнейшем стало понятно, что этот эксплойт работает с версиями браузера IE 6, 7, 8 и 9 – это признала сама компания Microsoft.

На сегодняшний день есть три способа защититься от новой проблемы с браузером Internet Explorer:
полностью отказаться от применения этого продукта во всех случаях, кроме критических,
использовать утилиту EMET (Enhanced Mitigation Experience Toolkit),
поставить самые жесткие ограничения по исполнению активных элементов на веб-страницах на любых веб-сайтах, внеся необходимые ресурсы в список доверенных.


Авторы набора утилиты Metasploit, предназначенной для проверки на устойчивость к атакам, из компании Rapid7 рассказали, что были удивлены работой эксплойта в средах Windows Vista и Windows 7. По их словам, новая атака обходит механизм ASLR (Address Space Layout Randomization – случайная адресация памяти), призванный защитить операционные системы от подобных угроз.

Частичное решение проблемы, которое предлагает Microsoft, описано в инструкции Security Advisory 2757760 ( ). Применение утилиты EMET сами представители Microsoft тоже не считают полным решением проблемы, поскольку в этом случае пользователю придется постоянно отвечать на запросы системы относительно исполнения скриптов и элементов управления ActiveX на каждой веб-странице. Кроме того, эта утилита выпускается только на английском языке и по ней предоставляется лишь ограниченная поддержка.

Также компания Microsoft рекомендует выполнить следующие действия: установить параметры безопасности для зон «Интернет» и «Локальный интранет» на уровень «Высокий», чтобы заблокировать исполнение ActiveX и Active Script в этих зонах. Это поможет избежать атаки через открытую уязвимость, но может снизить удобство работы, так что действительно нужные сайты нужно добавить в доверенную зону Internet Explorer. Также рекомендуется либо включить исполнение скриптов только по запросу пользователя, либо отключить Active Scripting в зонах «Интернет» и «Локальный интранет». Полноценное исправление планируется выпустить в ближайшем будущем – либо в плановом обновлении безопасности, либо во внеочередном обновлении, в зависимости от реальных потребностей заказчиков.

Новая уязвимость, получившая кодовое название «issue 50», была обнародована непосредственно перед началом ежегодной конференции JavaOne 2012 в г. Сан-Франциско. Как заявил Адам Гаудяк (Adam Gowdiak), директор компании Security Explorations, имя которого в последнее время часто мелькает в прессе в связи с дефектами Java, опасность новой проблемы оказалась критической. Как показали эксперименты по использованию уязвимости, с ее помощью можно обойти все меры безопасности в среде исполнения Java и захватить полный контроль над компьютером жертвы.

По словам представителей Security Explorations, им удалось успешно провести все действия по использованию уязвимости на компьютере с полностью обновленной 32-битной копией ОС Windows 7 и браузерами Firefox, Chrome, Internet Explorer, Opera и Safari. Хотя эксперименты проводились только на 32-битной версии Windows 7, авторы считают, что опасности подвержены любые системы, где установлены и активны копии Java версий 5, 6 или 7. Таким образом, риск актуален и для 64-битных платформ Windows 7, Mac OS X, Linux и Solaris.

По имеющимся сведениям, новая проблема в Java позволяет злоумышленнику обойти такой барьер безопасности, как «контроль целостности типов» (type safety) в виртуальной машине Java Virtual Machine, где исполняются все Java-приложения. Вредоносный Java-апплет (или Java-приложение) в результате запускается без системных ограничений, накладываемых на контекст текущего Java-процесса. В частности, такое вредоносное приложение может получить полномочия гораздо больше тех, которыми пользуется веб-браузер. В итоге злоумышленник получит возможность устанавливать свои программы в систему, просматривать, изменять и удалять данные, пользуясь всеми привилегиями пользователя, который сейчас работает в системе (и запустил браузер, через который проникло вредоносное Java-приложение).

На счету компании Security Explorations сейчас уже 50 найденных уязвимостей в технологии Java. Хотя негативный эффект от последней из них пока не обнаружен в естественных условиях, предыдущая была исправлена в срочном порядке только в прошлом месяце, хотя в компании Oracle знали о ней уже четыре месяца к тому моменту. Специалисты Security Explorations уже передали производителю Java полное техническое описание новой проблемы и код экспериментального эксплойта с демонстрацией применения уязвимости. Комментариев от Oracle пока не поступало.

До недавнего времени зеркало cdnetworks-kr-1 на SourceForge.net распространяло модифицированную версию клиента, содержащую бэкдор в файле server_sync.php, а также измененный файл js/cross_framing_protection.js. Обнаруженный бэкдор позволяет злоумышленнику удаленно выполнить произвольный PHP код.

На момент публикации новости производитель знал только о том, что скомпрометированной является версия phpMyAdmin-3.5.2.2-all-languages.zip.

Для того чтобы проверить, содержит ли ваша версия phpMyAdmin бэкдор, проверьте приложение на наличие файла server_sync.php. Если вы используете скомпрометированную версию, производитель рекомендует удалить ее и скачать вновь из доверенного репозитория.

В настоящее время неизвестно, когда вредоносный файл был добавлен в дистрибутив, и какое количество пользователей успело скачать его и установить.

Производитель благодарит за обнаружение бэкдора Tencent Security Response Center.

«После проверки подлинности подписей (вредоносных программ – ред.) мы немедленно отозвали инфраструктуру подписи цифрового кода и инициировали экспертное расследование для того, чтобы определить, как были созданы эти подписи. Нами был обнаружен скомпрометированный сервер сборки с доступом к инфраструктуре подписи кода», - говорится в уведомлении производителя.

Компания также сообщила, что инцидент может повлиять только на те решения Adobe, подписи которых были созданы с помощью скомпрометированного сертификата и работают на платформе Windows, а также на три приложения Adobe AIR, которые работают на Windows и Mac OS X.

В ходе расследования стало известно, что злоумышленники используют цифровые подписи Adobe для распространения вредоносной программы pwdump7 v7.1. Эта программа извлекает хеши паролей пользователей Windows, а также иногда используется как единый файл, который постоянно подключается к OpenSSL библиотеке libeay32.dll. Исследователями была обнаружена еще одна библиотека myGeeksmail.dll, которая использует подпись Adobe, однако подтверждений ее использования для проведения кибератак у сотрудников компании нет.

Производители антивирусных программ были уведомлены об инциденте, для того, чтобы они смогли добавить скомпрометированные сертификаты Adobe в сигнатуры угроз. До появления нового сертификата, которое состоится 4 октября, легитимные продукты Adobe будут использовать промежуточный сертификат.

Многие пользователи популярной программы Skype получили от абонентов, добавленных в список контактов, сообщение, содержащее текст «это новый аватар вашего профиля?))» и короткую ссылку, созданную с помощью сервиса goo.gl. При открытии ссылки начинается загрузка zip-архива, содержащего опасную троянскую программу BackDoor.IRC.NgrBot.146. Рассылку сообщений в Skype осуществляет вредоносная программа, добавленная в базы Dr.Web под имнем Trojan.Spamlink.1.

Данные угрозы уже известны специалистам «Доктор Веб», так что пользователям рекомендуется незамедлительно выполнить обновление вирусных баз.

Компания «Доктор Веб» призывает проявлять осторожность и не открывать архивы, загруженные по полученным в Skype гиперссылкам, даже если они присланы пользователями из списка контактов. В случае если вы стали жертвой данной вредоносной программы, выполните проверку вашей системы с использованием лечащей утилиты Dr.Web CureIt!

RDot.org

Эксплойты «нулевого дня», как сочетание информации об уязвимости, еще не получившей широкого освещения, и об инструментах для использования этой уязвимости в интересах злоумышленника, имеют огромную ценность для киберпреступников. Как только уязвимость становится общеизвестной, разработчики и системные администраторы начинают активную работу по блокированию или нейтрализации угрозы, после чего очередной эксплойт «нулевого дня» становится практически бесполезным для киберпреступников.

Лейла Бильге (Leyla Bilge) и Тудор Дамитрас (Tudor Dumitras) из исследовательского подразделения Symantec Research Labs изучили 18 атак «нулевого дня», обнаруженных в период с 2008 по 2011 год, причем 11 из них были выявлены и изучены впервые. Согласно результатам исследования, в общем случае атака «нулевого дня» длится 312 дней, а после обнародования уязвимости, на которую нацелена данная атака, количество эксплойтов возрастает в тысячи раз.

Стоит заметить, что данные для исследования были собраны у клиентов компании Symantec, которые согласились использовать функции удаленного антивирусного контроля. Результаты исследования были представлены на конференции ACM по безопасности компьютеров и коммуникаций.