Нападателите във Facebook експлоатираха бъг с нулев ден

Репутацията на Java отново победи, след като Facebook разкри, че нападателите са проникнали във вътрешните й системи, след като са се възползвали от уязвимост за нулев ден.

Както PCMag.com съобщи късно вчера следобед, Facebook заяви, че системите му са били „насочени към сложна атака“ през януари. Някои служители на Facebook, вероятно разработчици, са били заразени, след като са посетили сайт за мобилни разработчици на трети страни, заяви компанията в публикация във Facebook за сигурност на сайта. Преди това атакуващите компрометираха сайта за разработчици и им инжектираха злонамерен код, който експлоатираше дупка за сигурност в приставката за Java. Експлоатацията с нулев ден заобиколи Java пясъчната кутия, за да инсталира злонамерения софтуер на компютрите на жертвите, съобщи Facebook.

Фейсбук съобщи за експлоатацията на Oracle и той е закърпен 1. февруари. Oracle по това време каза, че поправката е била насрочена за 19 февруари, но е ускорила пускането, тъй като е била експлоатирана в природата. Понастоящем не е ясно кой от 39 (от 50) грешки в Java Runtime Environment, фиксирани в този пластир, е този, използван в този експлоатация.

Facebook увери потребителите, че никоя от потребителските данни не е била компрометирана при атаката, но не посочи дали някоя от вътрешните й данни е била засегната.

Twitter другият жертва?

Facebook уведоми няколко други компании, които бяха засегнати от същото нападение и насочи разследването към федералните правоприлагащи органи. Докато компанията не идентифицира други жертви, времето на нападението съвпада с нарушаването на Twitter. Поверителните данни на потребителите бяха изложени в тази атака. Сега, когато знаем някои от детайлите на атаката във Facebook, криптичното предупреждение от Twitter за деактивиране на плъгините на браузъра на Java има смисъл.

Както преди това SecurityWatch съобщава, директорът на Twitter за информационната сигурност на Боб Лорд каза: „Ние също отговаряме на консултативните експерти от Министерството на вътрешната сигурност и сигурността на САЩ, за да насърчим потребителите да деактивират Java на своите компютри в своите браузъри“.

Натрупване на AV Не точката

Фейсбук отбеляза, че компрометираните лаптопи „са били изцяло закърпени и работещи с актуален антивирусен софтуер“. Някои експерти по сигурността се насочиха към факта, за да повторят аргументите си, че антивирусът е „неуспешна технология“. Някои от тях казаха, че Facebook трябва да разкрие името на антивирусния доставчик, така че другите клиенти да знаят дали са изложени на риск.

Историята, която трябва да се съсредоточи тук, не е дали антивирусът е трябвало да открие експлоатацията на Java, а по-скоро, че Facebook успешно използва слоевата си защита, за да открие и спре атаката. Екипът за сигурност на компанията непрекъснато следи инфраструктурата за атаки и маркира подозрителния домейн в корпоративните DNS регистри, съобщи Facebook. Екипът го проследи до служителски лаптоп, намери злонамерено досие след извършване на съдебномедицинска експертиза и маркира няколко други компрометирани лаптопи със същия файл.

„Шапките на Facebook за бързата им реакция към тази атака, те го забиха в пъпката“, казва пред SecurityWatch Андрю Стормс, директор по операциите по сигурността в nCircle.

Наред с многопластовата сигурност, Facebook също редовно провежда симулации и тренировки за тестване на защитите и работа с реагиращи при инциденти. Наскоро Ars Technica направи увлекателен акаунт за едно такова упражнение във Facebook, където екипите по сигурността смятаха, че се справят с нулев ден експлоатация и бекдорд код. Този вид симулации се използват в няколко организации, както в публичния, така и в частния сектор.

Не е толкова лесно да се отървете от Java

Както SecurityWatch отбеляза по-рано този месец, е лесно да се посъветва потребителите да деактивират Java в своите браузъри, но много бизнес инструменти все още разчитат на приставката за Java на браузъра. Въпреки че не съм запознат с инструменти за разработчици, които изискват Java в браузъра, има много други преобладаващи бизнес инструменти, които го правят. Точно онзи ден имах проблеми с това WebEx да работи на Chrome (Java деактивиран) и трябваше да не забравям да премина към Internet Explorer (активиран Java).

Нападателите стават подъл, компрометират законните сайтове и атакуват посетителите на тези сайтове. Пазете вашия софтуер и операционна система кръпка и стартирайте актуален софтуер за сигурност. Намалете атакуващата повърхност там, където можете, но най-важното - да сте наясно какво се случва във вашата мрежа.