Car-tech

Senaste Java-nolldagsutnyttjandet är länkat till Bit9-hackerattack

How to Download and Install jEdit 5.4.0 Code Editor and Java JRE 1.8.0_151 on Windows

How to Download and Install jEdit 5.4.0 Code Editor and Java JRE 1.8.0_151 on Windows

Innehållsförteckning:

Anonim

De attacker som upptäcktes förra veckan som utnyttjade en tidigare okänd Java-sårbarhet lanserades sannolikt av samma angripare som tidigare riktade säkerhet firmware Bit9 och dess kunder, enligt forskare från antivirusleverantör Symantec.

Säkerhetsforskare från FireEye, som fann de nya Java-attackerna i förra veckan, sa att Java-exploitern installerar ett fjärråtkomstprogram av skadlig kod som heter McRAT. hot som Symantec-produkter upptäcker som Trojan. Naid, kopplar tillbaka till en kommandot och kontroll (C & C) -server med adressen 110.173.55.187 IP (Internet Protocol), Symantec r esearchers sa fredag ​​i ett blogginlägg.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

"Intressant nog skrivs också ett Trojan.Naid-prov av det kompromissade Bit9-certifikatet som diskuteras i uppdateringen Bit9 Security Incident och används i en attack på en annan part ", sa de. "Detta prov använde också IP-adress 110.173.55.187 för backkanalkommunikationsservern."

Certifikat stulit

Förra månaden meddelade Bit9, ett företag som säljer säkerhetsprodukter med whitelisting-teknik, att hackare bröt sig in i en av sina servrar och använde ett av företagets digitala certifikat för att signera skadlig kod. Den malware användes sedan i attacker mot några amerikanska organisationer, säger bolaget.

"Vid de efterföljande attackerna på de tre målorganisationerna föreföll attackerna redan ha äventyrat specifika webbplatser (en vattendroppsattack som liknar vad rapporterades nyligen av Facebook, Apple och Microsoft), "Bit9s CTO Harry Sverdlove sa i ett blogginlägg förra måndagen. "Vi tror att angriparna satte in en skadlig Java-applet på de webbplatser som använde en sårbarhet i Java för att leverera ytterligare skadliga filer, inklusive filer som signerades av det komprometterade certifikatet."

En av de skadliga filerna kopplade till IP-adressen "110.173. 55.187 "över port 80, sade Bit9 CTO. IP: n är registrerad till en adress i Hongkong.

"De trojanska attackerna har varit extremt långlivade och har visat sin sofistikering i flera attacker", sa Symantec-forskarna. "Deras primära motivation har varit industrispionage på en mängd olika industrisektorer."

Sök på nolldagars brister

De attacker som de startar brukar innebära olycksfallsfel med nolldagar. Under 2012 genomförde de ett angrepp på vattnet - en attack där en webbplats som ofta besökts av de avsedda målen är smittade - som utnyttjade en nolldagars sårbarhet i Internet Explorer, säger Symantec-forskarna.

Oracle har ännu inte avslöjat sina patchplaner för den senaste Java-sårbarheten. Nästa Java-säkerhetsuppdatering planerades i april, men företaget kan besluta att släppa en nöduppdatering före dess.

Säkerhetsforskare har rekommenderat användare som inte behöver tillgång till webbaserat Java-innehåll för att ta bort Java-plugin-modulen från sina webbläsare. Den senaste versionen av Java-Java 7 Update 15-ger ett alternativ via sin kontrollpanel för att inaktivera Java-plugin-programmen eller för att tvinga en bekräftelseprompt innan Java-applet får springa i webbläsaren.