Obrazki kradnące dane
Na odbywającej się właśnie konferencji Black Hat w Las Vegas zastaną podane szczegóły dotyczące nowego ataku zagrażającego użytkownikom serwisów społecznościowych i aukcyjnych oraz metody ochrony przed nim.
Billy Rios, Rob Carter oraz John Heasman to zespół, który zaprezentuje sposób przeprowadzenia internetowego ataku o nazwie GIFAR. Istotą ataku jest użycie dwóch plików: pierwszy z nich to plik graficzny w popularnym formacie GIF, drugi – plik archiwum klas języka Java mający rozszerzenie JAR. Z połączenia rozszerzeń obu typów plików pochodzi nazwa ataku. Atak jest szczególnie groźny, gdyż do jego skutecznego przeprowadzenia wystarczy przeglądarka WWW umożliwiająca wyświetlanie obrazków w formacie GIF – czyli w praktyce każda przeglądarka WWW (może poza typowo tekstowym programem Lynx) oraz uruchomiona na komputerze użytkownika tzw. wirtualna maszyna Javy, a w taką maszynę wyposażony jest każdy pecet, na którym użytkownik kiedykolwiek uruchomił webową aplikację w języku Java.
Sam przebieg ataku wygląda następująco: agresor preparuje odpowiedni plik (plik graficzny z dołączonym plikiem JAR), a następnie umieszcza go w popularnym serwisie społecznościowym. Plik taki najprawdopodobniej uda się agresorowi zamieścić w serwisie, gdyż serwery witryn społecznościowych, nawet jeżeli blokują zamieszczanie apletów Javy, to nie blokują umieszczania obrazków. Kolejny etap to nakłonienie ofiary do odwiedzin strony, na której został zamieszczony spreparowany plik GIF+JAR. W momencie gdy strona z takim plikiem zostanie wczytana, w przeglądarce ofiary wyświetlony zostanie obrazek, a następnie automatycznie, w sposób niewidoczny dla użytkownika, uruchomiona wirtualna maszyna Javy oraz zaimplementowany w obrazku kod z pliku JAR.
Kod wykonany w ten sposób zostanie uruchomiony w systemie operacyjnym użytkownika w kontekście przeglądarki, innymi słowy, będzie dysponował takim zestawem uprawnień, jaki ma uruchomiona przez użytkownika przeglądarka WWW. Jeżeli zatem przeglądarkę uruchomiła osoba mająca uprawnienia administratorskie, również i kod Javy uruchomiony z wczytanego obrazka będzie miał takie uprawnienia.
Prezentujący atak zwracają uwagę, że możliwość przeprowadzenia ataku GIFAR wynika nie tylko z samej luki w maszynie wirtualnej Javy (firma Sun – twórca maszyny wirtualnej Javy – pracuje już nad odpowiednią łatą), ale także z niedociągnięć samych aplikacji webowych, które weryfikują poprawność załadowanego do danego serwisu pliku wyłącznie na podstawie jego rozszerzenia. Czekamy zatem na szczegółowe relacje, a zwłaszcza na opis skutecznej metody zabezpieczenia się przed tym groźnym, zwłaszcza w okresie popularności serwisów społecznościowych, atakiem.
Źródło: BlackHat, Blog Heasmana
