Car-tech

Ερευνητές: Η εκμετάλλευση PDF μηδενικών ημερών επηρεάζει το Adobe Reader 11, παλαιότερες εκδόσεις

Ανοικτά Δεδομένα σε Έξυπνες Πόλεις - Ενισχύοντας τη Συμμετοχή των Πολιτών (EL, EN SUBS)

Ανοικτά Δεδομένα σε Έξυπνες Πόλεις - Ενισχύοντας τη Συμμετοχή των Πολιτών (EL, EN SUBS)
Anonim

Οι ερευνητές από την εταιρία ασφαλείας FireEye ισχυρίζονται ότι οι εισβολείς χρησιμοποιούν ενεργά ένα απομακρυσμένο exploit εκτέλεσης κώδικα που λειτουργεί με τις πιο πρόσφατες εκδόσεις του Adobe Reader 9, 10 και 11.

"Σήμερα, εντοπίσαμε ότι μια ευπάθεια PDF μηδενικής ημέρας χρησιμοποιείται στο φυσικό περιβάλλον και παρατηρήσαμε επιτυχή εκμετάλλευση στον πιο πρόσφατο Adobe PDF Reader 9.5.3, 10.1.5 και 11.0.1 ", δήλωσαν οι ερευνητές της FireEye αργά την Τρίτη σε μια δημοσίευση στο blog.

Το exploit πέφτει και φορτώνει δύο αρχεία DLL στο σύστημα. Ένα αρχείο εμφανίζει ένα ψευδές μήνυμα λάθους και ανοίγει ένα έγγραφο PDF που χρησιμοποιείται ως στόμα, λένε οι ερευνητές της FireEye.

[Περισσότερες πληροφορίες: Πώς να αφαιρέσετε κακόβουλο λογισμικό από τον υπολογιστή σας Windows]

προγράμματα για συντριβή. Σε αυτό το πλαίσιο, το ψεύτικο μήνυμα σφάλματος και το δεύτερο έγγραφο χρησιμοποιούνται κατά πάσα πιθανότητα για να εξαπατήσουν τους χρήστες να πιστέψουν ότι η συντριβή ήταν το αποτέλεσμα μιας απλής δυσλειτουργίας και το πρόγραμμα ανακτήθηκε με επιτυχία.

Εν τω μεταξύ, το δεύτερο DLL εγκαθιστά ένα κακόβουλο στοιχείο που καλεί επιστρέφουν σε έναν απομακρυσμένο τομέα, σύμφωνα με τους ερευνητές της FireEye

Δεν είναι σαφές πώς παραδίδεται το PDF exploit στην πρώτη θέση - μέσω ηλεκτρονικού ταχυδρομείου ή μέσω του Web - ή ποιοι ήταν οι στόχοι των επιθέσεων που τον χρησιμοποιούσαν. Το FireEye δεν ανταποκρίθηκε άμεσα σε μια αίτηση για πρόσθετες πληροφορίες που στάλθηκαν την Τετάρτη.

«Έχουμε ήδη υποβάλει το δείγμα στην ομάδα ασφάλειας της Adobe», ανέφεραν οι ερευνητές της FireEye στη θέση blog. "Πριν λάβουμε επιβεβαίωση από την Adobe και διαθέτουμε ένα σχέδιο μετριασμού, προτείνουμε να μην ανοίγετε άγνωστα αρχεία PDF."

Η Ομάδα Response Incident Response (PSIRT) της Adobe Product Security (PSIRT) επιβεβαίωσε την Τρίτη σε μια δημοσίευση στο blog ότι διερευνά Αναφορά ευπάθειας στο Adobe Reader και στο Acrobat XI (11.0.1) και σε προηγούμενες εκδόσεις που εκμεταλλεύονται στο φυσικό περιβάλλον. Ο κ. Heather Edell, ανώτερος διευθυντής εταιρικών επικοινωνιών της Adobe, δήλωσε ότι η εταιρεία εξακολουθεί να ερευνά.

Σε απάντηση σε αίτημα για ενημέρωση σχετικά με την κατάσταση που έστειλε την Τετάρτη, η Heather Edell, μια τεχνική κατά της εκμετάλλευσης που απομονώνει τις ευαίσθητες λειτουργίες ενός προγράμματος σε ένα αυστηρά ελεγχόμενο περιβάλλον, προκειμένου να αποτρέψει τους εισβολείς να γράψουν και να εκτελέσουν κακόβουλο κώδικα στο υποκείμενο σύστημα, ακόμη και μετά την εκμετάλλευση ενός κλασσικού τρωτού κώδικα απομακρυσμένης εκτέλεσης κώδικα στον κώδικα του προγράμματος. να εκμεταλλευτεί ένα sandboxed πρόγραμμα θα πρέπει να αξιοποιήσει πολλαπλές ευπάθειες, συμπεριλαμβανομένης μιας που επιτρέπει την εκμετάλλευση να ξεφύγει από το sandbox. Αυτά τα τρωτά σημεία παράκαμψης του sandbox είναι σπάνια, επειδή ο κώδικας που υλοποιεί το πραγματικό sandbox εξετάζεται συνήθως προσεκτικά και είναι αρκετά μικρός σε σχέση με το γενικό κώδικα βάσης του προγράμματος που μπορεί να περιέχει ευπάθειες.

Το Adobe πρόσθεσε έναν μηχανισμό sandbox για να απομονώσει τις λειτουργίες εγγραφής Mode in Adobe Reader 10. Το sandbox επεκτάθηκε περαιτέρω για να καλύψει τις λειτουργίες μόνο για ανάγνωση στο Adobe Reader 11, μέσω ενός δεύτερου μηχανισμού που ονομάζεται Προστατευμένη προβολή.

Επιστροφή το Νοέμβριο, οι ερευνητές ασφάλειας της ρωσικής εταιρείας ασφάλειας Group-IB ανέφεραν ότι μια εκμετάλλευση για τα Adobe Reader 10 και 11 πωλείται σε φόρουμ για εγκληματικές δραστηριότητες για $ 30.000 έως $ 50.000. Η ύπαρξη της εκμετάλλευσης δεν επιβεβαιώθηκε από την Adobe την εποχή εκείνη.

"Πριν από την εισαγωγή του sandbox, το Adobe Reader ήταν μία από τις πιο στοχευμένες εφαρμογές τρίτων από τους κυβερνοεγκληματίες", ανέφερε ο Bogdan Botezatu, ανώτερος αναλυτής ηλεκτρονικής απειλής σε antivirus πωλητής BitDefender, δήλωσε την Τετάρτη μέσω ηλεκτρονικού ταχυδρομείου. "Εάν επιβεβαιωθεί κάτι τέτοιο, η ανακάλυψη μιας τρύπας στο sandbox θα έχει καθοριστική σημασία και θα γίνει σίγουρα μαζική εκμετάλλευση από τους κυβερνοεγκληματίες."

Το Botezatu πιστεύει ότι η παράκαμψη του sandbox του Adobe Reader είναι ένα δύσκολο έργο, αλλά περίμενα ότι αυτό θα συμβεί σε κάποιο σημείο, επειδή ο μεγάλος αριθμός εγκαταστάσεων του Adobe Reader καθιστά το προϊόν ελκυστικό στόχο για τους εγκληματίες του κυβερνοχώρου. "Δεν έχει σημασία πόσο οι εταιρείες επενδύουν σε δοκιμές, δεν μπορούν ακόμα να διασφαλίσουν ότι οι εφαρμογές τους δεν είναι bug-free όταν αναπτύσσονται σε μηχανές παραγωγής", δήλωσε.

Δυστυχώς, οι χρήστες του Adobe Reader δεν έχουν πολλές επιλογές για να προστατευθούν εάν το sandbox παρακάμπτοντας την εκμετάλλευση υπάρχει, εκτός από το να είσαι εξαιρετικά προσεκτικός σε ό, τι αρχεία και συνδέσεις που ανοίγουν, είπε ο Botezatu. Οι χρήστες θα πρέπει να ενημερώσουν τις εγκαταστάσεις τους μόλις γίνει διαθέσιμη μια ενημερωμένη έκδοση κώδικα,