Breaking Through The (Google) Glass Ceiling by Christopher Bartholomew
Innholdsfortegnelse:
- Angrep oppfordrer Java bug-jegere
- Dette er tredje gang i år angripere har brukt null- dag Java-utnytter. Den økte frekvensen av angrep har tvunget Oracle til å redusere tiden mellom planlagte Java-oppdateringer fra fire måneder til to måneder, og sett sikkerhetskontrollene for Java-applets i nettlesere til «Høy» som standard.
En ny utnyttelse av et tidligere ukjent og ikke-oppdatert Java-sårbarhet blir aktivt brukt av angripere til å infisere datamaskiner med skadelig programvare, ifølge forskere fra sikkerhetsfirma FireEye.
"Vi observerte vellykket utnyttelse mot nettlesere som har Java v1.6 Update 41 og Java v1.7 Update 15 installert, "FireEye forskere Darien Kindlund og Yichong Lin sa torsdag i et blogginnlegg.
I angrepene som ble analysert av FireEye, er utnyttelsen brukes til å laste ned og installere et eksternt tilgangsverktøy (RAT) som heter McRAT. Denne typen malware brukes ofte i målrettede angrep, men FireEye avslørte ikke noen informasjon om hvem som blir målrettet.
[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]Et skjermbilde av trafikkens trafikk publisert av selskapet avslører at skadelig programvare lastes ned fra en japansk nettside som en.jpg-fil, selv om utvidelsen er trolig falsk og brukes som en avledning.
Den nye exploit er ikke veldig pålitelig fordi den prøver å overskrive en stor bit av minne for å deaktivere Java-sikkerhetsbeskyttelse, sa FireEye-forskerne. På grunn av dette, kan operatøren i noen tilfeller laste ned skadelig programvare, men klarer ikke å kjøre den ut og resulterer i en Java Virtual Machine (JVM) krasj.
Sikkerhetsforskere fra antivirusleverandøren Kaspersky Lab bekreftet fredag at operasjonen virker mot Java 7 Oppdater 15, som er den nyeste versjonen av Java, men sa at den mislykkes på eldre versjoner, som Java 7 Update 10. Angrepet ser ut til å være en målrettet, sier Costin Raiu, direktør for Kasperskys globale forsknings- og analyseteam, men
Angrep oppfordrer Java bug-jegere
Nyheter fra denne ukjente Java-utgaven på null dag, kommer dager etter at forskere fra polsk sårbarhetsforskningsfirma Security Explorations fant og rapporterte to nye Java-sårbarheter. til Oracle. Utnyttelsen som rapporteres av FireEye ser ut til å målrette mot et sårbarhetsproblem som er forskjellig fra hva som finnes i sikkerhetseksperimentene, Adam Gowdiak, grunnleggeren av sikkerhetsoppdagelser, sa F ridder via e-post.
"Vi forsøker å unngå [undersøke] minnekvalitetsproblemer i Java, da de ikke er så kraftige som rene Java-nivåbugger," sa Gowdiak. Bare ett av de 55 Java-sikkerhetsproblemene som ble rapportert av Security Explorations i det siste året, var et minne om korruptionsproblemer, sa han.
Gowdiak mener at den siste sikkerheten bryter med Twitter, Facebook, Apple og Microsoft som skyldes et angrep ved hjelp av et angrep. en annen Java-nulldagsutnyttelse, kan ha utløst mer interesse for Java-feil fra angripere.
"Vi har meldt Oracle og vil fortsette å jobbe med Oracle på denne oppdagelsen," sa FireEye-forskerne. "Siden denne utnyttelsen påvirker de nyeste Java 6u41- og Java 7u15-versjonene, oppfordrer vi brukere til å deaktivere Java i nettleseren din til en patch er utgitt. Alternativt kan du angi Java-sikkerhetsinnstillingene til" Høy "og ikke utføre noen ukjente Java-applets utenfor av din organisasjon. "
Oracle reagerte ikke umiddelbart på en forespørsel om kommentar angående patchplaner for dette sikkerhetsproblemet.
Strenge med nulldagseffekter
Dette er tredje gang i år angripere har brukt null- dag Java-utnytter. Den økte frekvensen av angrep har tvunget Oracle til å redusere tiden mellom planlagte Java-oppdateringer fra fire måneder til to måneder, og sett sikkerhetskontrollene for Java-applets i nettlesere til «Høy» som standard.
Følg Java-baserte angrep på Twitter, Facebook, Apple og Microsoft ingeniører som ble lansert fra et kompromittert community forum for iOS-utviklere, brøt Oracle ut av patching-syklusen for å gi ut en nødsikkerhetsoppdatering 1. februar.
Selskapet fulgte det med en annen patch 19. februar. De neste sikkerhetsoppdateringene for Java er planlagt 16. april, men det er mulig at Oracle vil bli tvunget til å frigjøre en nødspor igjen for å løse dette aktivt utnyttede sikkerhetsproblemet.
En annen dag, en annen Apple Tablet-ryktet
Piper Jaffray-analytikeren forutsier at Apple vil gi ut tabellen tidlig neste år med en pris på $ 600. å løfte på den fabelaktige Apple-tavle-datamaskinen, med ferske "detaljer" å få sprutete nye overskrifter. Piper Jaffray, finansanalytiker Gene Munster, ser ut til å være villig til å satse på gården at Apple-nettbrettet er ekte og vil koste $ 600, være tilgjengelig tidlig i 2010, og vil minte Apple 1,2 milliarder dollar i inntekter neste år.
Google Telefon: En annen dag, en annen visning
Gizmodo gir den siste rykten, med rapporten at en ny "Google Phone" vil kjøre en forbedret versjon av Android OS.
Fantasy Grounds II tar en annen tilnærming til virtuell bordspill. De fleste suiter laget for å drive RPG-bokser over internett fokuserer på den delte whiteboard-modellen, hvor GM og spillere bruker et interaktivt kart for å flytte tegn, NPC og objekter rundt som historien eller spilleravgjørelsene dikterer. Fantasy Grounds II (FGII) har en fullverdig whiteboard, men det er bare en del av et større system som er designet for å fortelle historier på en annen, mer tradisjonell måte, med fokus på f
Th