Sinasamantala ng mga attackers ng Facebook ang java zero-day bug

Ang reputasyon ng Java ay naganap muli, pagkatapos ng isiniwalat ng Facebook na ang mga pag-atake ay na-infiltrate ang mga panloob na mga sistema matapos ang pagsamantala sa isang kahinaan sa zero.

Tulad ng iniulat ng PCMag.com huli kamakalawa ng hapon, sinabi ng Facebook na ang mga system nito ay "target sa isang sopistikadong pag-atake" noong Enero. Ang ilang mga empleyado sa Facebook, siguro ang mga developer, ay nahawahan matapos bumisita sa isang third-party na mobile developer site, sinabi ng kumpanya sa isang post ng Facebook Security sa site. Nauna nang kinompromiso ng mga pag-atake ang site ng nag-develop at na-injected ang nakahahamak na code na pinagsamantalahan ang isang security hole sa plugin ng Java. Ang zero-day na pagsasamantala ay lumampas sa buhangin ng Java upang mai-install ang malware sa mga computer na biktima, sinabi ng Facebook.

Iniulat ng Facebook ang pagsasamantala sa Oracle, at ito ay naka-tap sa Peb. 1. Sinabi ni Oracle sa oras na ang pag-aayos ay naiskedyul para sa Peb. 19, ngunit pinabilis ang pagpapalaya dahil ito ay sinasamantala sa ligaw. Hindi malinaw sa puntong ito kung alin sa 39 (out of 50) ang mga bug sa Java Runtime Environment na naayos sa patch na iyon ang ginamit sa pagsasamantala.

Tiniyak ng mga gumagamit ng Facebook na wala sa data ng gumagamit ang nakompromiso sa pag-atake, ngunit hindi ipinahiwatig kung naapektuhan ang alinman sa panloob na data nito.

Twitter ang Iba pang Biktima?

Nasabihan ng Facebook ang maraming iba pang mga kumpanya na na-hit sa parehong pag-atake at pinihit ang pagsisiyasat sa pagpapatupad ng batas federal. Habang ang kumpanya ay hindi nakilala ang iba pang mga biktima, ang oras ng pag-atake ay magkakasabay sa paglabag sa Twitter. Ang mga kredensyal ng gumagamit ay nakalantad sa pag-atake na iyon. Ngayon alam na natin ang ilan sa mga detalye ng pag-atake sa Facebook, ang mabangong babala ng Twitter tungkol sa hindi pagpapagana ng mga plugin ng Java browser.

Tulad ng iniulat ng SecurityWatch dati, ang director ng information security ng Twitter na si Bob Lord ay nagsabi, "Isinasabay din namin ang advisory mula sa US Department of Homeland Security at security eksperto upang hikayatin ang mga gumagamit na huwag paganahin ang Java sa kanilang mga computer sa kanilang mga browser."

Piling sa AV Hindi ang Punto

Nabatid ng Facebook na ang mga nakompromiso na laptop na "ay ganap na naka-patched at tumatakbo na up-to-date na antivirus software." Ang ilang mga dalubhasa sa seguridad ay nagbunsod sa katotohanan upang muling matukoy ang kanilang mga argumento na ang antivirus ay isang "nabigong teknolohikal." Ilang sinabi na dapat ibunyag ng Facebook ang pangalan ng vendor ng antivirus upang malaman ng iba pang mga customer kung nasa panganib sila.

Ang kwentong tutok dito ay hindi kung ang antivirus ay dapat na nakita ang pagsasamantala sa Java, ngunit sa halip na matagumpay na ginamit ng Facebook ang layered defense nito upang makita at itigil ang pag-atake. Ang koponan ng seguridad ng kumpanya ay patuloy na sinusubaybayan ang imprastraktura para sa mga pag-atake at na-flag ang kahina-hinalang domain sa mga corporate DNS log, sinabi ng Facebook. Sinubaybayan ito ng koponan sa isang laptop ng empleyado, natagpuan ang isang nakakahamak na file matapos magsagawa ng isang pagsusuri sa forensic, at nag-flag ng maraming iba pang nakompromiso na mga laptop na may parehong file.

"Hats off sa Facebook para sa kanilang mabilis na reaksyon sa pag-atake na ito, inalis nila ito sa usbong, " Andrew Storms, direktor ng mga operasyon ng seguridad sa nCircle, sinabi sa SecurityWatch .

Kasabay ng layered security, ang Facebook ay regular ding nagsasagawa ng mga simulation at drills upang subukan ang mga panlaban at makipagtulungan sa mga sumasagot sa insidente. Kamakailan lamang ay na-arte ni Ars Technica ang isang kamangha-manghang account ng isang ganoong ehersisyo sa Facebook kung saan naisip ng mga security team na nakikipag-ugnayan sila sa isang zero-day na pagsasamantala at backdoor code. Ang mga ganitong uri ng simulation ay ginagamit sa maraming mga organisasyon, kapwa sa pampubliko at pribadong sektor.

Hindi Madali na Mapupuksa ang Java

Tulad ng nabanggit ng SecurityWatch mas maaga sa buwang ito, madaling payuhan ang mga gumagamit na huwag paganahin ang Java sa kanilang mga browser, ngunit maraming mga tool sa negosyo ang umaasa pa sa plugin ng Java ng browser. Habang hindi ko alam ang anumang mga tool ng nag-develop na nangangailangan ng Java sa browser, maraming iba pang mga pangunahing kagamitan sa negosyo na ginagawa. Noong araw pa lang, nahirapan akong makuha ang WebEx upang gumana sa Chrome (Java disable) at dapat kong tandaan na lumipat sa Internet Explorer (pinagana ang Java).

Ang mga umaatake ay nakakakuha ng walang katotohanan, nakompromiso ang mga lehitimong site at umaatake sa mga bisita sa mga site na iyon. Panatilihing naka-patched ang iyong software at operating system, at magpatakbo ng up-to-date na software ng seguridad. Bawasan ang iyong pag-atake sa ibabaw kung saan maaari mong, ngunit pinaka-mahalaga, magkaroon ng kamalayan sa kung ano ang nangyayari sa iyong network.