Se
ha descubierto una
vulnerabilidad en Java para la que no existe parche, que está siendo
aprovechada por atacantes y cuyo código es público. Es el peor escenario posible.
Todavía no se sabe mucho sobre la
vulnerabilidad, puesto que no ha dado tiempo a realizar un estudio exhaustivo,
pero lo divulgado por ahora nos sitúa en
el peor escenario posible.
FireEye descubría un servidor con
un .jar que aprovechaba una vulnerabilidad. Por tanto, alguien la conoce y está
aprovechando el fallo. A través de un dominio de tercer nivel dinámico
(aa24.net) y un servidor de correo web de una compañía china (que probablemente
haya sido atacada), se está (todavía) distribuyendo malware gracias a ese fallo
en Java.
A través de un índice en la carpeta "meeting" del servidor, muy ofuscado con Javascript, el malware que se está distribuyendo es este:
y
El problema afecta a la última versión de Java en su rama 7, hasta su "update 6". No afecta a la rama 6, que todavía se mantiene pero que se encuentra en periodo de "extinción". Funciona sobre los principales navegadores e incluso con EMET activo.
A pesar de que los investigadores
que lo descubrieron no ofrecieron detalles, un tercero ha publicado una prueba
de concepto para explotar el fallo, con lo que se abría la puerta a que cualquiera pudiera explotarla.
El código es sencillo, limpio, funcional y fiable. Compilar y lanzar. Poco después, se ha introducido como módulo en Metasploit.
Esto licencia a que cualquier atacante pueda comenzar a distribuir su propio malware (muy probablemente durante los próximos días se pueda ver en Blackhole, el kit de explotación de moda entre los atacantes). Si, como ya hemos mencionado en más de una ocasión, una máquina virtual de Java no actualizada es lo que más aprovechan los creadores de malware para distribuir sus muestras, esta vulnerabilidad permite "abrir el mercado" también entre los actualizados.
El código es sencillo, limpio, funcional y fiable. Compilar y lanzar. Poco después, se ha introducido como módulo en Metasploit.
Esto licencia a que cualquier atacante pueda comenzar a distribuir su propio malware (muy probablemente durante los próximos días se pueda ver en Blackhole, el kit de explotación de moda entre los atacantes). Si, como ya hemos mencionado en más de una ocasión, una máquina virtual de Java no actualizada es lo que más aprovechan los creadores de malware para distribuir sus muestras, esta vulnerabilidad permite "abrir el mercado" también entre los actualizados.
 |
Extracto del código del .Jar
|
Fuente: http://unaaldia.hispasec.com/
