Новый 0-day эксплойт Java используется для таргетированных атак
Дата: 28.08.2012     

Похоже, пользователям на всех платформах (Mac, Windows, Linux) лучше отключить виртуальную машину Java на своих компьютерах и деактивировать Java-плагин в браузере, пока Oracle не выпустит патч для обнаруженной уязвимости в Java JRE version 7.

Дело в том, что для этой уязвимости уже существует готовый эксплойт, который сегодня-завтра начнёт активно применяться злоумышленниками: уже зафиксированы первые случаи атак. Вчера разработчики Rapid7 сообщили, что готовят к выпуску соответствующий модуль Metasploit. Они уже протестировали его на полностью пропатченной Windows 7 SP1 с Java 7 Update 6. Есть информация, что в ближайшее время новый эксплойт добавят в популярный набор Blackhole, и тогда с опасностью вплотную столкнутся миллионы обычных пользователей интернета. По предварительной информации, эксплойт работает во всех браузерах.

Известный независимый исследователь в сфере ИТ-безопасности Брайан Кребс поговорил с разработчиками Blackhole — они сообщили, что стоимость подобной Java-уязвимости на чёрном рынке составляет до $100 000, если готовый эксплойт продают для эксклюзивного использования. В данном случае его использовали для таргетированной атаки с целью шпионажа авторы вредоносной программы Poison Ivy, которая попала в руки исследователей из антивирусных компаний. До настоящего момента им удавалось держать информацию в секрете — но вчера в открытом доступе опубликован Proof-of-Concept, и теперь ничто не мешает злоумышленникам использовать эксплойт в своих целях, защиты против него не существует.

Oracle выпускает патчи раз в 4 месяца, и следующий выпуск запланирован на 16 октября, почти через два месяца. Oracle очень редко выпускает внеплановые патчи, но для такой уязвимости всё-таки может сделать исключение. Всем известно, насколько большой вред могут нанести Java-экслойты, в связи с широкой популярность Java-машины на всех платформах.

Официальная рекомендация отключить Java-плагин во всех браузерах
Дата: 28.08.2012

Команда по быстрому реагированию на инциденты в сфере компьютерной безопасности US-CERT выпустила предупреждение TA12-240A, в котором речь идёт об опасном Java-эксплойте.

В бюллетене сообщается, что уязвимость затрагивает все системы, где установлена Oracle Java 7 (1.7, 1.7.0), включая Java Platform Standard Edition 7 (Java SE 7), Java SE Development Kit (JDK 7) и Java SE Runtime Environment (JRE 7). Наибольшему риску подвергаются браузеры с установленным Java-плагином, поскольку через них становится возможным удалённое исполнение кода. Проще говоря, Java Security Manager позволяет специально сконструированному Java-апплету выполнять произвольные команды в операционной системе на компьютере жертвы.

Уязвимости подвержены все браузеры с установленным плагином Java 7. В связи с этим US-CERT рекомендует всем пользователям отключить плагин Java во всех браузерах, в качестве временной меры.

Инструкция по отключению плагина Java в браузере Safari

Инструкция по отключению плагина Java в браузере Firefox

Инструкция по отключению отдельных плагинов в браузере Chrome

Для Internet Explorer можно попробовать отключить плагин через программу javacpl.exe, но этот метод ненадёжный. Лучше найти запись UseJava2IExplorer в реестре и установить ей значение в 0. В зависимости от версии Windows и плагина Java, ключ может располагаться в следующих разделах:
HKLM\Software\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer
HKLM\Software\Wow6432Node\JavaSoft\Java Plug-in\{version}\UseJava2IExplorer

Вместо отключения плагина в браузерах можно использовать расширения вроде NoScript для избирательного блокирования Java-апплетов на отдельных сайтах или на всех сайтах, со списком исключений.

Новая уязвимость Java 0-day добавлена в набор эксплойтов Blackhole
Дата: 29.08.2012

Как и прогнозировали специалисты, злоумышленники оперативно внедрили новую Java-уязвимость нулевого дня CVE-2012-4681 в набор эксплойтов Blackhole — самый популярный инструмент для массового заражения пользователей через drive-by. Поскольку 99% юзеров наверняка до сих пор не знают о новой угрозе и не отключили плагин Java в браузере, с сегодняшнего дня можно ожидать начала новой волны заражений.

Вот фрагмент кода обновлённого Blackhole.