Recientemente han sido descubiertas nuevas vulnerabilidades en el JRE (Java Runtime Environment) que se añaden a la primera, originalmente reportada por Fireeye, y la segunda descrita por Esteban Guillardoy. Estas vulnerabilidades apuntan a la última versión de JRE (1.7), e incluso si se está usando la última actualización de la misma (JRE 1.7 update 6) los ordenadores está en peligro y son fácilmente atacables. De acuerdo al ciclo de actualizaciones típico de Oracle, el parche puede tardar más de lo deseable. Pero es peor de lo que parece.

El kit de exploit más famoso ha integrado de manera muy rápida estas vulnerabilidades, tal y como predijo Brian Kreb. Por tanto, todas las campañas actuales de Blackhole usan estos exploits para infectar a las víctimas. Además, los exploits se han confirmado usando Internet Explorer, Firefox, Opera, Chrome e incluso Safari en múltiples plataformas, incluyendo Windows, Linux y MacOS.

¿Piensas que no podía ser peor? Pues resulta que Oracle sabía de estos (y otros) problemas desde Abril, según dice Adam Gowdiak, fundador y CEO de la empresa de seguridad Security Explorations.

El kit de exploit Blackhole ha sido el primero, pero no será el último. avast! ha identificado otros kits de exploit activos que adoptan estas vulnerabilidades y otro les seguirán pronto con total seguridad. El Kit Nuclear Pack ha sido actualizado para aprovechar la última vulnerabilidad JRE de una manera bastante efectiva, que le permite atacar todos los entornos (incluso JRE 1.6 y JRE 1.7).

Esta nueva adaptación usa una mayor ofuscación comparado con Blackhole. Las constantes numéricas y cadenas aleatorias usadas en el código buscan confundir a los motores de detección y hace que el exploit sea invisible. Incluso las constantes de cadena más importantes son codificadas con esta modalidad. Podéis ver los ratios de detección actuales en Virustotal.

En las próximas semanas vamos a ver técnicas de ocultamiento más sofisticadas que harán muy difíciles las detecciones por parte de los antivirus. En avast! vamos a intentar romper estos planes sacando detecciones genéricas y usando mecanismos de detección dinámicos y de comportamiento, poniendo todo de nuestra parte para dar la mejor protección a nuestros usuarios. Sin embargo, no podemos dejar de recomendar la desinstalación de Java si es posible o en su defecto desconectarlo en todos los navegadores. Aquí tenéis una guía para hacerlo (en inglés).

También esperamos ver en los próximos días el parche de actualización por parte de Oracle que solucione estos problemas, parche que ya debería haber salido a la luz si es cierto que dicha marca conocía de hace tiempo estas vulnerabilidades.