Những kẻ tấn công Facebook đã khai thác lỗi java zero-day

Danh tiếng của Java đã bị đánh bại một lần nữa, sau khi Facebook tiết lộ rằng những kẻ tấn công đã xâm nhập vào hệ thống nội bộ của nó sau khi khai thác lỗ hổng zero-day.

Như PCMag.com đã báo cáo vào cuối chiều hôm qua, Facebook cho biết các hệ thống của họ đã bị "nhắm vào một cuộc tấn công tinh vi" vào tháng 1. Một số nhân viên của Facebook, có lẽ là các nhà phát triển, đã bị nhiễm sau khi truy cập trang web dành cho nhà phát triển di động của bên thứ ba, công ty cho biết trong một bài đăng trên Facebook Security trên trang web. Những kẻ tấn công trước đó đã xâm phạm trang web của nhà phát triển và tiêm mã độc khai thác lỗ hổng bảo mật trong plugin Java. Khai thác 0 ngày đã bỏ qua hộp cát Java để cài đặt phần mềm độc hại trên các máy tính nạn nhân, Facebook cho biết.

Facebook đã báo cáo việc khai thác cho Oracle và nó đã được vá vào ngày 1 tháng 2. Oracle tại thời điểm đó cho biết việc khắc phục đã được lên kế hoạch vào ngày 19 tháng 2, nhưng đã đẩy nhanh việc phát hành vì nó đang bị khai thác ngoài tự nhiên. Hiện tại vẫn chưa rõ trong số 39 (trong số 50) lỗi Môi trường chạy thi hành Java được sửa trong bản vá đó là lỗi được sử dụng trong khai thác này.

Facebook đảm bảo với người dùng rằng không có dữ liệu người dùng nào bị xâm phạm trong vụ tấn công, nhưng không cho biết liệu có bất kỳ dữ liệu nội bộ nào của họ bị ảnh hưởng hay không.

Twitter Nạn nhân khác?

Facebook đã thông báo cho một số công ty khác đã bị tấn công tương tự và chuyển cuộc điều tra sang cơ quan thực thi pháp luật liên bang. Mặc dù công ty không xác định được các nạn nhân khác, thời điểm xảy ra vụ tấn công trùng khớp với vi phạm của Twitter. Thông tin đăng nhập của người dùng đã bị lộ trong cuộc tấn công đó. Bây giờ chúng ta đã biết một số chi tiết về cuộc tấn công vào Facebook, cảnh báo khó hiểu của Twitter về việc vô hiệu hóa các trình cắm Java có ý nghĩa.

Như SecurityWatch đã báo cáo trước đây, giám đốc bảo mật thông tin của Twitter, Bob Lord, đã nói: "Chúng tôi cũng lặp lại lời khuyên từ Bộ chuyên gia an ninh và an ninh nội địa Hoa Kỳ để khuyến khích người dùng vô hiệu hóa Java trên máy tính của họ trong trình duyệt của họ."

Đóng cọc trên AV Không phải là Điểm

Facebook lưu ý các máy tính xách tay bị xâm nhập "đã được vá đầy đủ và chạy phần mềm chống vi-rút cập nhật". Một số chuyên gia bảo mật đã đưa ra thực tế để nhắc lại lập luận của họ rằng phần mềm chống vi-rút là một "công nghệ thất bại". Một số người nói rằng Facebook nên tiết lộ tên của nhà cung cấp phần mềm chống vi-rút để các khách hàng khác biết liệu họ có gặp rủi ro hay không.

Câu chuyện cần tập trung ở đây không phải là liệu phần mềm chống vi-rút có nên phát hiện khai thác Java hay không, mà là Facebook đã sử dụng thành công lớp phòng thủ để phát hiện và ngăn chặn cuộc tấn công. Nhóm bảo mật của công ty liên tục theo dõi cơ sở hạ tầng cho các cuộc tấn công và gắn cờ tên miền đáng ngờ trong nhật ký DNS của công ty, Facebook cho biết. Nhóm nghiên cứu đã truy tìm nó trở lại máy tính xách tay của nhân viên, tìm thấy một tệp độc hại sau khi tiến hành kiểm tra pháp y và gắn cờ một số máy tính xách tay bị xâm nhập khác có cùng tệp.

"Ngả mũ trước Facebook vì phản ứng nhanh của họ trước cuộc tấn công này, họ đã xử lý nó ngay lập tức", Andrew Storms, giám đốc hoạt động bảo mật tại nCircle, nói với SecurityWatch .

Cùng với bảo mật lớp, Facebook cũng thường xuyên tiến hành mô phỏng và diễn tập để kiểm tra phòng thủ và làm việc với những người ứng phó sự cố. Ars Technica gần đây đã ghi lại một tài khoản hấp dẫn về một bài tập như vậy tại Facebook, nơi các nhóm bảo mật nghĩ rằng họ đang đối phó với việc khai thác và mã backlink trong 0 ngày. Những loại mô phỏng này được sử dụng trong một số tổ chức, cả trong khu vực công và tư nhân.

Không dễ để thoát khỏi Java

Như SecurityWatch đã lưu ý hồi đầu tháng này, thật dễ dàng để khuyên người dùng tắt Java trong trình duyệt của họ, nhưng nhiều công cụ kinh doanh vẫn dựa vào plugin Java của trình duyệt. Mặc dù tôi không biết về bất kỳ công cụ phát triển nào yêu cầu Java trong trình duyệt, nhưng có rất nhiều công cụ kinh doanh chiếm ưu thế khác. Mới hôm nọ, tôi gặp sự cố khi WebEx hoạt động trên Chrome (bị tắt Java) và phải nhớ chuyển sang Internet Explorer (bật Java).

Những kẻ tấn công đang trở nên lén lút, xâm phạm các trang web hợp pháp và tấn công khách truy cập vào các trang web đó. Giữ cho phần mềm và hệ điều hành của bạn được vá, và chạy phần mềm bảo mật cập nhật. Giảm bề mặt tấn công của bạn ở nơi bạn có thể, nhưng quan trọng nhất là nhận thức được những gì đang xảy ra trên mạng của bạn.