Microsoft: Liczba ataków na Javę rośnie lawinowo

Koncern z Redmond ostrzega użytkowników Windows przed nową falą ataków, wykorzystujących luki w oprogramowaniu Java (obecnie rozwijanym przez koncern Oracle). Eksperci z firmy Symantec potwierdzają te doniesienia i dodają, że wieloplatformowa Java jest idealnym celem dla internetowych przestępców.
Z informacji udostępnionych przez przedstawicieli microsoftowego działu MMPC (Microsoft Malware Protection Center) wynika, że od początku bieżącego roku błyskawicznie rośnie liczba prób wykorzystania luk w zabezpieczeniach Javy do atakowania użytowników. "W pierwszym kwartale 2010 r. odnotowaliśmy niespełna pół miliona takich prób, podczas gdy w trzecim było ich już ponad sześć milionów. Te ataki są coraz skuteczniejsze i bardziej pomysłowe - niektóre są naprawdę przerażające. Najdelikatniej rzecz ujmując, można powiedzieć, że wzrost liczby ataków jest bardzo zaskakujący" - napisała w firmowym blogu Holly Stewart z MMPC.

Nowe ataki na stare błędy

Stewart zaznaczyła, że w zdecydowanej większości przypadków ataki wykorzystywały luki, na które twórcy Javy udostępnili już odpowiednie łatki. Atakujący skupili się na dwóch starych błędach. W 3,5 mln. prób ataku próbowano wykorzystać lukę występującą w Java Runtime Environment, która została załatana w grudniu 2008 r. Kolejne 2,6 mln odnotowanych incydentów związanych było z błędem przepełnienia bufora występującym w Java i JRE (ten z kolei został załatany w grudniu 2009 r.). Jak widać, większość ataków skierowana jest przeciwko użytkownikom, którzy zapominają o jednej z podstawowych zasad bezpieczeństwa - tzn. konieczności regularnego uaktualniania oprogramowania.

Zdaniem Stewart, fala ataków przeciwko oprogramowaniu rozwijanemu obecnie przez Oracle (po tym, jak koncern przejął Sun Microsystems) nie została do tej pory właściwie zauważona - głównie dlatego, że większość popularnych systemów wykrywania włamań (IDS i IPS) nie jest w stanie poprawnie analizować kodu Javy.

Java łąkomym kąskiem

"Doniesienia Micosoftu brzmią całkiem sensownie - Java ze swoją wieloplatformowością i integrowaniem się z wieloma różnymi przeglądarkami jest z pewnością łakomym kąskiem dla internetowych przestępców. Z Javy korzysta każda popularna przeglądarka, na wszystkich popularnych systemach operacyjnych" - komentuje Marc Fossi, szef działającego w ramach koncernu Symantec zespołu SRR (Security Response Team).

Inny ceniony specjalista ds. bezpieczeństwa - Brian Krebs - twierdzi z kolei, że przyczyną fali ataków na Javę jest szybko rosnąca popularność narzędzia hakerskiego Crimepack, które korzysta m.in. z luk w Javie (w tym poważnej luki, która została załatana w kwietniu tego roku).

"Takie narzędzia zwykle zawierają exploity na wiele różnych błędów - zwykle są to starsze luki, na które są już dostępne łatki" - tłumaczy Rossi.

29 poprawek dla Javy

Holly Stewart z Microsoftu zaleca, by użytkownicy jak najszybciej zaktualizowali Javę - osoby korzystające z najnowszej wersji tego oprogramowania nie są narażone na żadne ataki. Warto przypomnieć, że zaledwie tydzień temu Oracle udostępnił swój kwartalny pakiet aktualizacji (łącznie składał się on z 85 poprawek, zaś 29 z nich przeznaczone było dla Javy).

Przedstawiciele Oracle na razie nie skomentowali tych doniesień. Warto jednak odnotować, że koncern ostro konkuruje z Microsoftem w kilku segmentach rynku - m.in. w zakresie produktów bazodanowych.
Oryginalny tekst został opublikowany na www.idg.pl
Ocena:
Twoja ocena:

Komentarze (19)

~Zeke

22-10-2010 14:11

@otenelar "że włamanie do Windows nie jest już takie proste" Zobacz sobie wyniki pwn2own, i następnym razem zastanów się, co piszesz. "popularne oprogramowanie innych firm." To oprogramowanie innych firm dostępne jest też na inne systemy operacyjne, ale jakoś za każdym razem mówi się o Windowsach tylko... "No, ale najwyraźniej tobie [...] nie jest w stanie nawet zaświtać w głowie," Ja patrzę na ilości dziur na systemach. System z niezałatanymi od lat dziurami możesz sobie nazywać bezpiecznym, jeśli tego właśnie twoja głowa potrzebuje...

~otenalar

22-10-2010 08:59

Gość * IP: 77.254.197.226: "Czyli Microsoft kontynuuje akcję pt "A u was biją murzynów!"." Bzdury gadasz. Po prostu "badboysi" zauważyli, że włamanie do Windows nie jest już takie proste, więc przerzucili się na popularne oprogramowanie innych firm. Najpierw Adobe, teraz Java. No, ale najwyraźniej tobie zdanie "Windows nie jest dziurawy" nie jest w stanie nawet zaświtać w głowie, nie mówiąc już o wyartykułowaniu.

~Zeke

20-10-2010 14:02

@77.254.140.90 Właśnie dlatego desperacko próbują się ratować i opłacają nieudaczników takich jak tad, których pies z kulawą nogą do niczego nie zatrudni, do wciskania ludziom kitu. Na zasadzie "a nuż ciemny lud to kupi", jak to mówił pewien bullterrier.

~Gość

20-10-2010 13:26

Jak by to co Tadziu mówił było prawdą to dzisiaj żarł bym glebę, przegryzał trawą i popijał deszczówką. Najbardziej dochodowe zajęcia jakie wykonywałem przez ostatnie 4 lata to właśnie migracja systemów CRM itp na technologie INNE NIŻ MICROSOFT. Koszta serwerów, licencji, wieczne problemy, słaba stabilność, ograniczenia to chyba największe grzechy. Wybaczcie ale SERWER MS nie potrafi dłużej pochodzić bez restartu. I w ten sposób firmy nagle się dowiedziały że wydając troszkę gotówki mogą zminimalizować wydatki do MINIMUM stosując sensowniejsze technologie.

~Zeke

20-10-2010 11:44

@tad "Jak juz pisałem, wiekszośc wiekszych firm wraca w ostatnich latach do MS" Zamiast początku: "Za górami, za lasami...", teraz bajki się opowiada inaczej: "Jak pisał tadziu..." Podaj jakieś źródło swoich danych, misiu kolorowy, bo ja nie słyszałem o takich zdarzeniach. Za dużo było spektakularnych wpadek po próbnych migracjach na produkty MS.

~Gosć

20-10-2010 10:37

max: zapewne nie wiesz, że MS SQL2008R2 bij obecnego oracle w szybkości (np. rózne wyższe testy tcp), bezpieczeńśtwie, skalowalności, i tylko w jedym pozostaje oracle - instalowaniu na platformach typu linuks czy inne otwarte na wszystko. Jak juz pisałem, wiekszośc wiekszych firm wraca w ostatnich latach do MS, do jego nowych aplikacj, jego nowych architektór i systemów. Wiadomo C#4, F#, linq, predykaty i wyrażenia złożone z nich powodują, że programy działaja znacznie szybciej, są znacznie krótsze i programiści mają znacznie mniej problemów a taniej sie rozwija wieksze projekty zespołowo - przegrywacie po całości, mimo, że macie troche faności ale zbyt niejednolitych.

~Gość

20-10-2010 10:05

Po pierwsze 193.24, masz jakieś kompleksy że wyzywasz mnie od dziecka ? Ja wiem że wyzywanie innych to najlepszy sposób na podniesienie swojego ego ale weź proszę nie przesadzaj. Po drugie, gdybyś pracował w dużej firmie to byś wiedział że na ogół stacje robocze dzieli się na sektory wg konfiguracji. I jeżeli w danym sektorze łatka działa to się ją daje na cały sektor. Jak się wie co robi to wdrożenie czegokolwiek na dany sektor nie trwa tygodni czy miesięcy ale dni. Zawsze są oczywiście idioci którzy po prostu mają kupę komputerów i starają się to wszystko ogarnąć. 3 miesiące to dużo ale gdybyś umiał czytać to byś wiedział że chodzi o łaty mające 1-2 lata na karku.

~Gość

20-10-2010 10:00

pierwszy gość - ale w korporacji nie instaluje się łatki z dnia na dzień dziecko tylko najpier analizuje a potem testuje - przy rozbudowanych systemach wdrożenie takiej łatki może potrwać i 3 miesiące.... przestałbyś bredzić - java jak adobe - jedna wielka dziura a sofcik malutki

siwy

19-10-2010 23:51

@tad, zgadnij może użytkownicy jakiego systemu (ułatwię Ci: mainstreamowy w biznesie) maj± w większo¶ci stareńk±, niepołatan± javę. Przyczyny tego stanu też s± typowe dla mainstreamowego w biznesie systemu. PS: Je¶li już robisz za forumowego moralizatora jest taka ksi±żka która się pewnie u Ciebie kurzy a w niej zdanie "kto jest bez winy niech pierwszy rzuci kamień". Panowie z MS pewnie jej nie znaj± bo nie jest to optymalne za całokształt i niepotrzebnie zwiększa koszty ci±gnione.

~AV

19-10-2010 22:47

@Dżyszla Dobre :D

~max

19-10-2010 21:32

re tadek: ale może jakieś konkrety? Dlaczego kiepściuchny MS SQL jest mainstreamowy? Było kilka firm, które się w niego wpuściły, nawet Xerox w reklamie uczestniczył. Ale to już przeszłość. Króluje Oracle i twoja czołobitność tego nie zmieni.

~Gosć

19-10-2010 20:57

max: znowu się mylisz, MS JEst mainstreamowy w biznesie. A ataki na javę są od tych samych terrorystów, kórym nie w spmak prejęcie javy ale dzięki nim okazało sie ile jest warte takie oprogramowanie jak java czy wogóle open source u realnych userów. W sumie i tak pregrywacie a prawdy nie zakrzyczycie, tym, że skoro ktoś ma jakiś błąd to inni mogą mieć do woli i wara mu od głoszenia prawdy.

~max

19-10-2010 20:46

re Uzyszkodnik: dobrze to ująłeś. MS SQL to produkt niszowy (ulubione słowo wintroli), z Oraclem Microsoft nie ma czym konkurować.

~Dżyszla

19-10-2010 20:25

"Java łąkomym kąskiem " - że jakim? Coś z łąką tą z XP na tapecie? ;)

~mbq

19-10-2010 20:24

A Linux-y same dbają o aktualizację oprogramowania.

~Gość

19-10-2010 19:06

Czyli TO że cały czas się mówi o aktualizowaniu oprogramowania. Ja mogę pisać godzinami o tym jak lawinowo atakuje się Windowsa przez dziury które załatano lata temu. I jak lawinowo atakuje się go z wykorzystaniem obecnie działających dziur. Najpierw MS atakuje OO, teraz Javę. To jasne że toczą cichą batalię z Oracle. Z Windowsem o tyle łatwo że piraci nie aktualizują swojego systemu. W skrócie chodzi mi o to że Microsoft to hipokryci. Starają się oczerniać konkurencję gdzie sami mają od wielu lat poważny problem z dziurami i wirusami.

~Uzyszkodnik

19-10-2010 18:06

Domyślam się, że artykuł został popełniony na Zamówienie. W innym razie twierdzenie, że Oracle konkuruje z MS we wspomnianym przez Autora "segmencie" jest jak mawiał klasyk semantycznym nadużyciem ;) To jak stawianie tezy, że Nasz Romet konkuruje z Toyota w segmencie aut hybrydowych.

~gość

19-10-2010 18:04

Czyli co? Lepiej cicho siedzieć i nie ostrzegać bo łatka już się pojawiła? Po pierwsze błędy dotyczą nie tylko Windows, po drugie użytkownicy nie łatają swoich aplikacji i takie straszenie jest dobre. Może chociaż kilka osób skorzysta z rady i uruchomi aktualizację?

~Gość

19-10-2010 15:02

Czyli Microsoft kontynuuje akcję pt "A u was biją murzynów!". Najpierw OpenOffice, teraz Java. Na dobrą sprawę jak by w tekście zamiast Java wstawić Windows to też by pasowało. Trochę tekstu o niczym. Pragnę zaznaczyć wyraźnie że próby ataków są skierowane na 2 ZAŁATANE błędy które mają 1-2 lata. Powinni się zająć łataniem własnych błędów zamiast szukać cudzych. Ich Internet Explorer 8 ma 2-letnią lukę na karku i jeszcze jej nie załatali. A ładują ten syf z systemem razem bez pytania użytkownika o zdanie.

Polecane

PC World z prezentem!

Tak, zamawiam 12 wydań PC World po 14,09 zł każde (zamiast 19,90 zł) od numeru 6/2012.
Dodatkowo program Panda Antyvirus Pro 2012,
chroniący aż 3 komputery, dostanę za darmo.

PC World 6/2012
Nowy numer PC World 6/2011
Razem: 169


  • Z darmową wysyłką
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »