Обнаружен червь, эксплуатирующий исправленную год назад уязвимость в JBoss
27 октября 2011 года
В апреле 2010 года в свободном сервере приложений JBoss Application Server была устранена опасная уязвимость, позволяющая получить доступ к консоли JMX без авторизации и выполнить произвольный код на сервере. Спустя полтора года в сети зафиксирован червь, который поражает серверы с необновлёнными версиями JBoss, до сих пор подверженными уязвимости, или системы с незащищённым доступом к консоли JMX.
После получения управления, червь размещает на сервере компоненты, подсоединяющие поражённый хост к ботнету и позволяющие получить полное управление над сервером из любой точки сети. Создав подставной уязвимый JBoss-сервер исследователи выявили интеграцию бэкдора на языке Java, загрузку контента, связанного с совершением вредоносных действий, и установку perl-скрипта, принимающего управляющие команды через соединение к IRC-серверу, через который производится координация работы ботнета. Кроме того, на сервер устанавливается клиент для организации удалённого доступа, а также несколько скриптов для обнаружения других уязвимых серверов JBoss и для поиска уже поражённых хостов, на которые осуществлено внедрение червя.
Активность червя наблюдается как минимум последнюю неделю. Пока не ясно как много серверов скомпрометировано в результате работы червя и в чьих интересах работает созданный на его основе ботнет. Появление червя поднимает проблему недостаточного акцентирования внимания на установку обновлений в корпоративной среде. Всем пользователям JBoss Application Server рекомендуется проверить работу систем установки обновлений и убедиться в надлежащем закрытии доступа к управляющей консоли JMX.
В дополнение, можно упомянуть исследование способов распространения вредоносных программ, проведённое несколько недель назад компанией Microsoft. Исследование показало, что 3.2% всех заражений происходит через эксплуатацию уязвимостей, исправление для которых было выпущено больше года назад, 2.4% через проблемы с момента исправления которых прошло менее года и только 0.096% через неисправленные уязвимости (zero-day). Среди других способов распространения: в 44.8% случаях вредоносное ПО распространяется, требуя от пользователя выполнения определённых действий; 26% через автозапуск с USB-накопителей; 17.2% через автозапуск по сети; 4.4% через инфицирование файлов; 1.7% через подбор паролей.
Источники
править
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.
Комментарии
Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.
Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.
Несколько советов по оформлению реплик:
- Новые темы начинайте, пожалуйста, снизу.
- Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
- Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
- Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.
Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.
