Exploit.Java.CVE-2010-0840

Вредонос является компонентом троянской программы-загрузчика, и содержит класс с именем “translator”, реализующий загрузку файла из сети Интернет по переданной ссылке, а также запуск загруженного файла на выполнение. Загруженный файл сохраняется в каталоге хранения временных файлов текущего пользователя как

%Temp%.exe

где – случайное дробное десятичное число от 0 до 1. Перед загрузкой проверяется имя ОС, установленной на зараженной системе. Если ОС отлична от Windows, загрузка не выполняется.

Троянец представляет собой Java-апплет. Его запуск осуществляется с зараженной HTML-страницы при помощи тега ““, для которого в параметре “hint” передается в зашифрованном виде ссылка на загружаемый файл.

Кроме рассмотренного класса троянец включает в себя классы с именами “ISO” и “UTF”. Класс “ISO” содержит функцию “sikilda”, которая используется для расшифровки ссылки на загружаемый файл. Класс “UTF” содержит код, предназначенный для эксплуатации уязвимости (CVE-2010-0840). Уязвимыми являются JDK и JRE до 6-ой версии , 18-го обновления. Данная уязвимость проявляется вследствие ненадлежащей проверки при выполнении привилегированных методов в Java Runtime Environment, что позволяет злоумышленнику выполнить произвольный код при помощи определенным образом модифицированного объекта, являющегося подклассом доверенного класса.