Эксплойт Apache Log4j может повлиять на Minecraft: Java Edition, Steam, Amazon, Twitter и многие другие, но его можно смягчить.
Обнаружена далеко идущая уязвимость системы безопасности нулевого дня, которая может позволить удаленное выполнение кода злоумышленниками на сервере и которая может повлиять на кучу онлайн-приложений, включая Minecraft: Java Edition, Steam, Twitter и многие другие, если ее оставить не отмечен.
Идентификатор эксплойта — CVE-2021-44228, который Red Hat отмечен как 9,8 по шкале серьезности, но достаточно свежий и все еще ожидает анализа NVD. Он находится в широко используемой библиотеке ведения журналов на основе Java Apache Log4j, и опасность заключается в том, как он позволяет пользователю запускать код на сервере, потенциально принимая на себя полный контроль без надлежащего доступа или полномочий посредством использования сообщений журнала.
Самая Страшная неделя в истории Minecraft Уязвимость Log4Shell [FitMc на русском]
«Злоумышленник, который может управлять сообщениями журнала или параметрами сообщений журнала, может выполнить произвольный код, загруженный с серверов LDAP, когда включена подстановка поиска сообщений», — говорится в описании идентификатора CVE.
Проблема может затронуть Minecraft: Java Edition, Steam, Tencent, Apple, Twitter, Amazon и многих других поставщиков онлайн-услуг. Это потому, что, хотя Java уже не так распространена среди пользователей, она по-прежнему широко используется в корпоративных приложениях.
Что касается исправления, к счастью, есть несколько вариантов. Сообщается, что проблема затрагивает версии log4j от 2.0 до 2.14.1. Обновление до Apache Log4j версии 2.15 — лучший способ решения проблемы, как указано на странице уязвимости системы безопасности Apache Log4j. Хотя пользователи более старых версий также могут быть смягчены, установив для системного свойства log4j2.formatMsgNoLookups значение «true» или удалив класс JndiLookup из пути к классам.
Если вы используете сервер, использующий Apache, например, ваш собственный Java-сервер Minecraft, вы захотите немедленно перейти на более новую версию или исправить старую версию, как указано выше, чтобы обеспечить защиту вашего сервера. Точно так же Mojang выпустила патч для защиты игровых клиентов пользователей, дополнительные подробности можно найти здесь.
Долгосрочные опасения заключаются в том, что, хотя осведомленные лица теперь устранят потенциально опасный недостаток, в темноте останется еще много тех, кто этого не сделает и может оставить недостаток не исправленным на длительный период времени.
Многие уже опасаются, что уязвимость уже используется, в том числе CERT NZ. Таким образом, многие корпоративные и облачные пользователи, скорее всего, поспешат исправить последствия как можно быстрее.
«Из-за простоты использования и широты применимости мы подозреваем, что злоумышленники немедленно начнут использовать эту уязвимость», — говорится в сообщении об уязвимости в блоге охранной фирмы Randori.
Источник: atomplay.ru
Что такое эксплойты и почему их все так боятся?
Marvin the Robot
Разработчики защитных решений часто упоминают в своих публикациях эксплойты как одну из самых серьезных проблем безопасности данных и систем, хотя и не всегда ясно, какова разница между эксплойтами и вредоносными программами в целом. Попробуем разобраться с этим вопросом.
Что такое эксплойт?
Эксплойты — это подвид вредоносных программ. Они содержат данные или исполняемый код, способный воспользоваться одной или несколькими уязвимостями в программном обеспечении на локальном или удаленном компьютере.
Например, у вас есть браузер, и есть уязвимость в нем, которая позволяет исполнить «произвольный код», то есть установить и запустить некую вредоносную программу на вашей системе без вашего ведома или спровоцировать какое-либо иное не ожидаемое вами поведение системы. Чаще всего первым шагом злоумышленников становится повышение привилегий, позволяющее делать в атакуемой системе все, что в голову взбредет.
Браузеры наряду с Flash, Java и Microsoft Office являются одними из самых подверженных атакам категорий программного обеспечения. Из-за их повсеместности их активно исследуют как эксперты по безопасности, так и хакеры, а разработчики браузеров вынуждены регулярно выпускать патчи для исправления уязвимостей. Лучше всего эти патчи устанавливать сразу, но, к сожалению, так происходит далеко не всегда — ведь при этом придется закрывать все вкладки.
Особую проблему, конечно, представляют собой эксплойты неизвестных уязвимостей, обнаруженных и использованных преступниками, — так называемые уязвимости нулевого дня. Может пройти много времени, прежде чем производители узнают о наличии проблемы и устранят ее.
Как происходит заражение
Следующая часть вполне техническая, так что не стесняйтесь проматывать, если только вам не в самом деле интересно, как это работает. Имейте в виду при этом, что киберпреступники часто предпочитают эксплойты прочим методам заражения, так как, в отличие от социальной инженерии, в которой все делается наудачу, эксплуатация уязвимостей неизменно дает желаемый результат.
Есть два способа «скормить» пользователям эксплойты. Во-первых, при посещении ими сайта, содержащего вредоносный код эксплойта. Во-вторых, при открытии пользователем безобидного на вид файла со скрытым вредоносным кодом. Как легко догадаться, во втором случае для доставки эксплойта, как правило, пользуются спамом или фишинговым письмом.
Как поясняется в статье Securelist, эксплойты предназначены для атаки конкретных версий программного обеспечения, содержащего уязвимости. Таким образом, если у пользователя нужная версия программного обеспечения при открытии вредоносного объекта или если веб-сайт использует это программное обеспечение для работы, то запускается эксплойт.
После того как он получает доступ посредством уязвимости, эксплойт загружает дополнительные вредоносные программы с сервера преступников, осуществляющие подрывную деятельность, такую как кража личных данных, использование компьютера в качестве элемента ботнета для рассылки спама или выполнения DDoS-атак и так далее.
Эксплойты представляют угрозу даже для осторожных и добросовестных пользователей, которые регулярно обновляют свое программное обеспечение. Причина кроется во временном зазоре между открытием уязвимости и выходом патча для ее исправления.
В этом интервале эксплойты могут свободно функционировать и угрожать безопасности почти всех интернет-пользователей при отсутствии установленных в системе автоматических средств предотвращения атак эксплойтов. Опять же, не будем забывать про синдром открытых вкладок — своевременное обновление программ зачастую требует от пользователя некоторых жертв, на которые не все готовы пойти сразу в момент выхода заплатки.
Эксплойты ходят стаями
Эксплойты часто упакованы вместе — так, чтобы проверить систему-мишень на широкий спектр уязвимостей. Как только выявляются одна или несколько, в дело вступают соответствующие эксплойты. Наборы эксплойтов также широко используют специальные методы запутывания кода (специалисты называют это умным словом «обфускация»), чтобы избежать обнаружения и замести интернет-адреса с целью помешать исследователям их вычислить.
Перечислим несколько наиболее известных наборов эксплойтов, или, как еще их называют, эксплойт-китов:
Angler — один из самых сложных наборов на черном рынке. Этот набор эксплойтов своим появлением изменил правила игры, после того как начал обнаруживать антивирусы и виртуальные машины (часто используемые экспертами по безопасности как приманки) и задействовать шифрованные файлы для затруднения исследования. Это один из тех наборов эксплойтов, которые быстрее всего включают в свой арсенал недавно открытые уязвимости нулевого дня, а его вредоносные программы работают в памяти, без записи на жестких дисках жертв. С техническим описанием пакета можно ознакомиться здесь.
Nuclear Pack — поражает жертв эксплойтами Java и Adobe PDF, а также подсаживает Caphaw — печально известный банковский троян. Подробнее читайте здесь.
Neutrino — набор от русскоязычных разработчиков, содержащий несколько эксплойтов Java. Neutrino прославился в прошлом году в связи с тем, что владелец выставил его на продажу по очень скромной цене — $34 тыс. Скорее всего, это было сделано после ареста некоего Paunch, создателя следующего набора, о котором мы хотим поговорить.
Blackhole Kit — наиболее распространенная веб-угроза в 2012 году, нацеленная на уязвимости в старых версиях браузеров Firefox, Chrome, Internet Explorer и Safari, а также многих популярных плагинов, таких как Adobe Flash, Adobe Acrobat и Java. После того как жертву заманили или перенаправили на страницу подсадки, запутанный JavaScript определяет содержимое машины жертвы и загружает те эксплойты, для которых данный компьютер уязвим.
Blackhole, в отличие от большинства других эксплойт-китов, даже удостоился отдельной статьи в «Википедии», хотя после ареста вышеупомянутого Paunch сам набор практически вышел в тираж.
Вывод
Как сказано выше, эксплойты — подвид вредоносных программ, но они обнаруживаются не всеми защитными программами. Для успешного обнаружения необходимо, чтобы защитное решение использовало поведенческий анализ — это единственный надежный метод борьбы с эксплойтами. Вредоносные программы могут быть многочисленными и разнообразными, но большинство из них имеют похожие черты поведения.
Что такое эксплойты и почему их все так боятся?
Tweet
Подобный метод используется в Kaspersky Internet Security и других продуктах «Лаборатории Касперского» — соответствующая часть наших защитных решений называется «Автоматическая защита от эксплойтов» (или AEP — Automatic Exploit Prevention). Характерное поведение эксплойтов помогает предотвратить заражение даже в случае эксплуатации ранее неизвестной уязвимости нулевого дня.
Более подробную информацию о технологии Automatic Exploit Prevention можно найти здесь.
Источник: www.kaspersky.ru
Программист опубликовал эксплоит для атаки серверов
Около двух лет назад, Аммар Аскар решил полазить по серверам Minecraft. Он наткнулся на довольно существенную проблему, которая позволила посылать определенные неправильные пакеты и останавливать сервера.
На протяжении всего этого времени, программист писал компании Mojang с интервалом в три месяца, чтобы те как можно быстрее исправили уязвимость, но каждый раз он был проигнорирован, либо получал крайне неудовлетворительные ответы. Аммар продолжал надеяться, что проблема будет исправлена, и по возможности проверял исходный код на новые релизы. Mojang является не маленькой компанией, в любой момент времени ее программным обеспечением пользуются тысячи серверов и сотни тысяч человек играют под ее управлением. Они обязаны исправлять проблемы такого типа.
1) 28 июля, 2013: первый контакт с mojang, раскрыта уязвимость и доказательство концепции предусмотрено.
2) 19 августа, 2013: второй раз спрашиваю об ошибке. Ответ был дан, ведутся работы.
3) 24 сентября, 2013: третий контакт с сотрудником. Сказал, что проблема была делегирована.
4) 25 октября, 2013: четвертый раз я снова решил связаться с сотрудником. Тишина.
5) 27 октября, 2013: последняя попытка контакта и вновь я был проигнорирован. (в этот момент, я терпеливо ждал починки)
Я должен был дать им последнее предупреждение, но я просто был уверен, что его снова не воспримут в серьез.
Кроме того, следует отметить, что есть личности, которые пытаются улучшить продукт. Наверное это верный способ заставить разработчиков заняться проблемой.
Данная проблема существует до сих пор, поэтому Аммар решил опубликовать эксплоит в своем блоге, после чего Mojang дали знать, что попытались исправить уязвимость, но пока безрезультатно.
Источник: minecraftonly.ru