Penjenayah siber menggunakan eksploit Java yang ditandatangani secara digital untuk menipu pengguna

Penyelidik keselamatan memberi amaran bahawa penjenayah siber telah mula menggunakan eksploitasi Java yang ditandatangani dengan sijil digital untuk menipu pengguna ke dalam membenarkan kod berniat jahat dijalankan di dalam penyemak imbas.

Eksploitasi Java yang ditandatangani telah dijumpai pada hari Isnin laman web milik Chemnitz University of Technology di Jerman yang dijangkiti dengan toolkit mengeksploitasi Web yang dipanggil g01pack, penyelidik keselamatan Eric Romang berkata pada hari Selasa dalam catatan blog.

"Ini pasti go01 pack," kata Jindrich Kubec, pengarah risikan ancaman vendor antivirus Avast, berkata melalui e-mel. Contoh pertama dari eksploitasi Java yang ditandatangani ini telah dikesan pada 28 Februari.

[Bacaan lanjut: Cara menghapuskan malware dari PC Windows Anda]

Tidak jelas apakah eksploit ini menargetkan kerentanan baru atau kecacatan Java yang lebih lama yang telah ditambal. Oracle melancarkan update keselamatan Java baru-baru ini pada hari Isnin untuk mengatasi dua kelemahan kritikal, salah satunya sedang secara aktif dieksploitasi oleh penyerang.

Eksploitasi Java secara tradisional telah disampaikan sebagai aplikasi applet-Java Web yang tidak ditandatangani. Pelaksanaan applet tersebut digunakan untuk diautomatikkan dalam versi Java yang lebih lama, yang membolehkan penggodam untuk melancarkan serangan oleh serangan muat turun yang benar-benar telus kepada mangsa.

Tetapan pemeriksaan pembatalan Sijil di Java 7

Bermula dengan pembebasan Januari Java 7 Update 11, kawalan keselamatan lalai untuk kandungan Java berasaskan Web ditetapkan tinggi, mendorong pengguna untuk pengesahan sebelum applet dibenarkan berjalan di dalam pelayar, tanpa mengira sama ada ditandatangani secara digital atau tidak.

menggunakan eksploit yang ditandatangani di atas yang tidak ditandatangani memberikan manfaat kepada penyerang, kerana dialog pengesahan yang dipaparkan oleh Java dalam kedua-dua kes adalah jauh berbeza. Dialog untuk applet Java yang tidak ditandai sebenarnya bertajuk "Amaran Keselamatan."

Digital signing merupakan bahagian penting untuk memastikan pengguna boleh mempercayai kod anda, Bogdan Botezatu, penganalisis e-ancaman senior di vendor antivirus Bitdefender, berkata melalui e-mel. Dialog pengesahan yang dipaparkan untuk kod yang ditandatangani adalah lebih diskrit dan kurang mengancam daripada yang dipaparkan dalam hal kode tidak ditandatangani.

"Selain itu, Java sendiri memproses proses yang ditandatangani dan tidak ditandatangani secara berlainan dan menguatkan sekatan keamanan dengan tepat," Botezatu kata. Sebagai contoh, jika tetapan keselamatan Java ditetapkan kepada "sangat tinggi," applet tidak ditandatangani tidak akan berjalan sama sekali, manakala applet yang ditandatangani akan dijalankan jika pengguna mengesahkan tindakan itu. Dalam persekitaran korporat di mana tetapan keselamatan Jawa yang sangat tinggi dikuatkuasakan, penandatanganan kod mungkin merupakan satu-satunya cara bagi penyerang menjalankan aplet jahat pada sistem yang disasarkan, katanya.

Contoh amaran keselamatan untuk applet Java yang ditandatangani di Java 7 Update 17

Eksploitasi Java yang baru ini juga telah menampakkan fakta bahawa Java tidak memeriksa pembatalan sijil digital secara lalai.

Eksploitasi yang dijumpai oleh penyelidik pada hari Isnin telah ditandatangani dengan sijil digital yang kemungkinan besar dicuri. Sijil itu dikeluarkan oleh Go Daddy kepada syarikat yang bernama Clearesult Consulting yang berpusat di Austin, Texas, dan kemudiannya dibatalkan dengan tarikh 7 Dis 2012.

Pembatalan sijil boleh digunakan secara retroaktif dan tidak jelas apabila betul-betul Go Daddy membenderakan sijil untuk pembatalan. Walau bagaimanapun, pada 25 Februari, tiga hari sebelum sampel ekspedisi terdahulu dikesan, sijil itu telah disenaraikan sebagai terbatal dalam senarai pembatalan sijil yang diterbitkan oleh syarikat itu, kata Kubec.

Pada tab "Advanced" pada panel kawalan Java, di bawah kategori "Tetapan keselamatan lanjutan", terdapat dua pilihan yang dipanggil "Semak sijil untuk pembatalan menggunakan Senarai Pembatalan Sijil (CRLs) "Dan" Dayakan pengesahan sijil dalam talian "- pilihan kedua menggunakan OCSP (Protokol Status Sijil Atas Talian). Kedua-dua pilihan ini dimatikan secara lalai.

Oracle tidak mempunyai sebarang komen mengenai isu ini pada masa ini, agensi PR Oracle di UK pada Selasa mengatakan melalui email.

"Pengorbanan keamanan untuk kemudahan adalah pengawasan keselamatan yang serius, terutama karena Java telah menjadi bagian yang paling ditargetkan pihak ketiga daripada perisian sejak November 2012, "kata Botezatu. Bagaimanapun, Oracle tidak bersendirian dalam hal ini, kata penyelidik itu, dengan menyatakan bahawa Adobe kapal Adobe Reader 11 dengan mekanisme kotak pasir penting dilumpuhkan secara lalai untuk alasan kebolehgunaan.

Kedua Botezatu dan Kubec yakin bahwa penyerang akan semakin mulai menggunakan Java signature secara digital eksploit untuk memintas sekatan keselamatan baru Java dengan lebih mudah. ​​

Firma keselamatan Bit9 baru-baru ini mendedahkan bahawa penggodam berkompromi salah satu sijil digitalnya dan menggunakannya untuk menandatangani perisian hasad. Tahun lepas, peretas melakukan hal yang sama dengan perakuan digital yang dikompromi dari Adobe.

Insiden tersebut dan eksploitasi Java yang baru ini membuktikan bahawa sijil digital yang sah dapat berakhir menandatangani kod jahat, kata Botezatu. Dalam konteks ini, secara aktif memeriksa pembatalan sijil adalah sangat penting kerana ia adalah satu-satunya mitigasi yang ada dalam kes kompromi sijil, katanya.

Pengguna yang memerlukan Java dalam pelayar setiap hari harus mempertimbangkan untuk mengaktifkan semakan pembatalan sijil untuk lebih baik melindungi terhadap serangan yang mengeksploitasi sijil dicuri, kata Adam Gowdiak, pengasas firma penyelidikan kelemahan penyelidikan Poland, menerusi e-mel. Penyelidikan Keselamatan Penjelajah telah menemui dan melaporkan lebih kurang 50 kerentanan Java pada tahun lalu.

Walaupun pengguna harus mengaktifkan opsyen pembatalan sijil secara manual, kebanyakan mereka mungkin tidak melakukannya memandangkan mereka tidak memasang kemas kini keselamatan, kata Kubec. Penyelidik berharap bahawa Oracle akan menghidupkan ciri secara automatik dalam kemas kini masa depan.