Trojan.Rodricter распространяется с помощью критической уязвимости Java

Trojan.Rodricter распространяется с помощью критической уязвимости Java

26 августа компания FireEye сообщила об обнаружении критической уязвимости в Java Runtime Environment версий 1.7x, получившей обозначение CVE-2012-4681. Компания Oracle выпустила соответствующее обновление безопасности только 30 августа, и, следовательно, уязвимость оставалась незакрытой в течение как минимум четырех суток, чем не замедлили воспользоваться злоумышленники. Специалисты компании «Доктор Веб» установили, что с использованием этого эксплойта распространялось несколько вредоносных программ, среди которых был обнаружен троянец Trojan.Rodricter.

С целью распространения вредоносных программ злоумышленники использовали взломанные веб-сайты, на которых, в частности, модифицировалось содержимое файла .htaccess. В момент обращения к веб-сайту, содержащему внедренный злоумышленниками вредоносный скрипт, выполняется цепочка перенаправлений, адрес конечного узла в которой зависит от установленной на компьютере пользователя операционной системы. Пользователи ОС Windows перенаправлялись на веб-страницу, содержащую вызовы различных эксплойтов. Примечательно, что адреса серверов, на которые перебрасывались пользователи, генерируются динамически и меняются каждый час.

Загружаемые в браузер пользователя веб-страницы эксплуатировали сразу две уязвимости: CVE-2012-1723 и CVE-2012-4681. Используемый злоумышленниками эксплойт зависит от версии Java Runtime: для версий 7.05 и 7.06 обход безопасности происходил с использованием уязвимости CVE-2012-4681.

 

 

 

В случае если применение уязвимости завершилось успехом, Java-апплет расшифровывает файл class, основное предназначение которого — загрузка и запуск исполняемых файлов. Таким образом злоумышленники распространяли троянскую программу Trojan.Rodricter.21.

 

 

 

Троянец Trojan.Rodricter.21 использует руткит-технологии и состоит из нескольких компонентов. Так, запустившись на инфицированном компьютере, дроппер этой вредоносной программы проверяет наличие в системе антивирусного ПО и отладчиков, после чего пытается повысить свои привилегии: для этого, в частности, могут использоваться уязвимости ОС. На компьютерах, использующих контроль учетных записей пользователей, троянец отключает UAC. Дальнейший алгоритм действий Trojan.Rodricter.21 зависит от того, какие права он имеет в зараженной системе. Троянец сохраняет на диск основной компонент и, если у него достаточно для этого привилегий, инфицирует один из стандартных драйверов Windows с целью скрытия основного модуля в зараженной системе. Таким образом, Trojan.Rodricter.21 вполне можно отнести к категории троянцев-руткитов. Помимо прочего, эта вредоносная программа умеет изменять настройки браузеров Microsoft Internet Explorer и Mozilla Firefox, например, в последнем троянец устанавливает в папку \searchplugins\ дополнительный плагин-поисковик, а также подменяет User-Agent и настройки поисковой системы по умолчанию. В результате отправляемые пользователем поисковые запросы имеют вид http://findgala.com/?&uid=%d&&q={поисковый запрос}, где %d — уникальный идентификатор троянца. Также Trojan.Rodricter.21 модифицирует содержимое файла hosts, прописывая туда адреса принадлежащих злоумышленникам веб-сайтов.

Основной модуль Trojan.Rodricter.21 сохраняется в виде исполняемого файла во временной папке, он предназначен для подмены пользовательского трафика и внедрения в него произвольного содержимого.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ИИ-инструменты могут получить статус соавтора в разработке ядра Linux

Разработчик из Nvidia Саша Левин предложил патч-серию, которая может сделать ИИ-ассистентов вроде Copilot, Claude или Cursor полноценной частью процесса разработки Linux-ядра — но по строго заданным правилам.

Во-первых, патч добавляет конфигурационные заготовки (stubs) для популярных ИИ-инструментов: GitHub Copilot, Claude, Codeium, Cursor, Continue, Windsurf, Aider и других. Все они будут ссылаться на единый файл с документацией — чтобы было ясно, как именно такие помощники могут быть задействованы.

Во-вторых — и это важнее — вводятся официальные правила, по которым в ядре можно использовать ИИ при написании кода. Главное требование: если ИИ что-то помог написать, в коммите нужно указывать это явно — с помощью строки Co-developed-by:. Пример:

Co-developed-by: Claude <claude-opus-4-20250514> 

А вот Signed-off-by: использовать для ИИ нельзя. Эта строка юридически означает следующее: человек подтверждает, что имеет право внести изменение и соблюдает лицензии — и такую ответственность может нести только живой разработчик.

В примере, приведённом в патче, Claude помог поправить опечатку в документации по OPP: вместо "dont" стало "don't". Вроде мелочь, но теперь с правильной атрибуцией.

Левин также предлагает создать новый раздел Documentation/AI/ в кодовой базе ядра. Там — чёткие инструкции:

  • Следовать стандартам кодирования Linux.
  • Уважать существующий процесс разработки.
  • Понимать лицензионные требования.

Отдельно подчёркивается: у ИИ бывают проблемы с пониманием этих аспектов, поэтому человеческий контроль обязателен.

Очевидно, ИИ-инструменты всё активнее используются даже в таких серьёзных проектах, как Linux-ядро. Патч Левина — попытка легализовать и структурировать этот процесс, не жертвуя качеством и юридической чистотой.

Так что, если вы уже тайком пользовались Copilot для фиксов в ядре, — теперь будет шанс делать это открыто, но по правилам.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru