Новый 0-day эксплойт начал осаду

Trend Micro опубликовала данные по кибератакам, использующим эксплойт-паки с новым Java-эксплойтом ― к CVE-2012-4681, уязвимости нулевого дня, обнаруженной в конце августа. Период исследования ― первые дни сентября

Эксплойт к CVE-2012-4681 был добавлен в коммерческие версии таких инструментов, как Blackhole, в течение суток после публикации новой опасной бреши в Java. Данная уязвимость связана с некорректной обработкой контроля доступа в рамках «защитных доменов». По оценке израильской security-компании Seculert (http://blog.seculert.com/2012/08/java-0-day-blackhole-king.html), включение свежего 0-day эксплойта в состав Blackhole, на долю которого приходится свыше 85% эксплойт-пак площадок в интернете, повысило результативность этого комплекта в 2,5 раза. Патч к опасной бреши Oracle выпустила лишь 30 августа, спустя несколько дней после публикации.

Trend Micro как и ЛК, отслеживает и блокирует попытки эксплуатации CVE-2012-4681 с момента появления первых эксплойтов. В ходе одной из таких кибератак эксперты обнаружили свыше 300 доменов и более 100 серверов, используемых злоумышленниками для размещения страниц с эксплойтами. Около ⅔ этих доменов зарегистрированы в TLD-зонах .com (23%), .org, .net, .info и .ru (9%). Почти половина эксплойт-площадок были обнаружены на территории США, 27% ― в России. При этом ⅔ жертв нового Java-эксплойта ― американцы, остальные проживают, в основном, в странах Западной Европы, в том числе 10% в Германии, 7% в Италии.

По данным Trend Micro, потенциальные жертвы попадают на целевую площадку с набором эксплойтов разными путями: через спам, взломанный сайт-редирект, редирект с порноресурса, внешнюю ссылку или зловредный скрипт в контекстной рекламе. Спам-письма, зафиксированные Trend Micro в начале сентября, имитировали сообщения соцсети LinkedIn, антивируса, онлайн-сервиса eFax или службы денежных переводов Western Union. Все эти фальшивые послания были снабжены ссылками, ведущими на взломанный сайт, который перенаправлял пользователя на целевую страницу. Здесь выполнялся поиск уязвимостей в подключенной системе и, в случае успеха, активация надлежащего эксплойта.