Útočníci na Facebooku využili chybu v dennej jave

Po tom, čo Facebook odhalil, že útočníci infiltrovali svoje interné systémy po zneužití zraniteľnosti v nultý deň, reputácia jazyka Java sa opäť vytrhla.

Ako spoločnosť PCMag.com informovala neskoro popoludní, Facebook uviedol, že jej systémy boli v januári „cielene prepracované“. Niektorí zamestnanci Facebooku, pravdepodobne vývojári, boli nakazení po návšteve mobilnej vývojárskej stránky tretej strany, uviedla spoločnosť v príspevku spoločnosti Facebook Security. Útočníci predtým narušili vývojársku stránku a vložili škodlivý kód, ktorý využil bezpečnostnú medzeru v doplnku Java. Nultý deň zneužitia obišiel karanténu Java na inštaláciu škodlivého softvéru na počítače obete. Facebook uviedol.

Facebook ohlásil zneužitie spoločnosti Oracle a oprava bola vykonaná 1. februára. Oracle v tom čase uviedol, že oprava bola naplánovaná na 19. februára, ale uvoľnenie urýchlilo, pretože sa vo voľnej prírode využívalo. V tomto okamihu nie je jasné, ktorá z 39 (z 50) chýb Java Runtime Environment opravených v tejto patche bola tou, ktorá bola použitá pri tomto zneužití.

Facebook ubezpečil používateľov, že pri útoku neboli ohrozené žiadne údaje používateľa, ale neuviedol, či boli ovplyvnené niektoré z jeho interných údajov.

Neštebotajú druhú obeť?

Facebook informoval niekoľko ďalších spoločností, ktoré boli zasiahnuté rovnakým útokom, a vyšetrovanie obrátil na federálne orgány činné v trestnom konaní. Aj keď spoločnosť neidentifikovala ďalšie obete, načasovanie útoku sa zhoduje s porušením služby Twitter. Pri tomto útoku boli odhalené poverenia používateľov. Teraz, keď poznáme niektoré podrobnosti útoku na Facebook, má zmysel kryptické varovanie Twitteru o deaktivácii doplnkov prehliadača Java.

Ako už predtým spoločnosť SecurityWatch oznámila, riaditeľ informačnej bezpečnosti spoločnosti Twitter Bob Lord povedal: „Opakujeme tiež odporúčanie odborníkov amerického ministerstva vnútornej bezpečnosti a bezpečnosti, aby sme povzbudili používateľov, aby zakázali Javu na svojich počítačoch v prehliadačoch.“

Hromadenie na AV nie je bod

Facebook poznamenal, že kompromitované notebooky „boli plne záplatované a fungujú najnovší antivírusový softvér“. Niektorí odborníci v oblasti bezpečnosti poukazovali na skutočnosť, že zopakujú svoje argumenty, že antivírusový program bol „neúspešnou technológiou“. Niektorí uviedli, že Facebook by mal zverejniť meno dodávateľa antivírusového softvéru, aby ostatní zákazníci vedeli, či sú v ohrození.

Príbeh, na ktorý sa treba zamerať, nie je, či antivírus mal zistiť zneužitie Java, ale skôr to, že Facebook úspešne použil svoju vrstvenú obranu na detekciu a zastavenie útoku. Bezpečnostný tím spoločnosti neustále sleduje útoky na infraštruktúru a označil podozrivú doménu v podnikových protokoloch DNS. Tím ho vystopoval späť k zamestnaneckému notebooku, po vykonaní forenzného vyšetrenia našiel škodlivý súbor a pomocou rovnakého súboru označil niekoľko ďalších kompromitovaných notebookov.

„Klobúky odchádzajú na Facebook kvôli ich rýchlej reakcii na tento útok, štipľali to v zárodku, “ povedal Andrew Storms, riaditeľ bezpečnostných operácií v nCircle.

Spolu s vrstvenou bezpečnosťou Facebook tiež pravidelne vykonáva simulácie a cvičenia na testovanie obrany a prácu s respondentmi. Ars Technica nedávno zaznamenala fascinujúci účet jedného takého cvičenia na Facebooku, kde si bezpečnostné tímy mysleli, že sa zaoberajú vykorisťovacím a zadným kódom v noci. Tieto druhy simulácií sa používajú vo viacerých organizáciách, tak vo verejnom, ako aj v súkromnom sektore.

Zbaviť sa Java nie je také ľahké

Ako SecurityWatch poznamenal začiatkom tohto mesiaca, je jednoduché odporučiť používateľom, aby zakázali Javu vo svojich prehľadávačoch, ale mnoho obchodných nástrojov sa stále spolieha na doplnok Java v prehliadači. Aj keď neviem o žiadnych vývojárskych nástrojoch, ktoré v prehliadači vyžadujú Javu, existuje veľa ďalších prevažujúcich obchodných nástrojov. V ten istý deň som mal problémy s tým, aby WebEx pracoval v prehliadači Chrome (zakázaná Java), a musela som si zapamätať prechod na Internet Explorer (povolená Java).

Útočníci sú záludní, ohrozujú legitímne stránky a útočia na návštevníkov týchto stránok. Udržujte svoj softvér a operačný systém opravený a spustite aktuálny bezpečnostný softvér. Znížte svoju útočnú plochu, kde si môžete, ale čo je najdôležitejšie, uvedomiť si, čo sa deje vo vašej sieti.