Exploit.Java.CVE-2010-0840

Вредонос является компонентом троянской программы-загрузчика, и содержит класс с именем «translator», реализующий загрузку файла из сети Интернет по переданной ссылке, а также запуск загруженного файла на выполнение. Загруженный файл сохраняется в каталоге хранения временных файлов текущего пользователя как

%Temp%.exe

где – случайное дробное десятичное число от 0 до 1. Перед загрузкой проверяется имя ОС, установленной на зараженной системе. Если ОС отлична от Windows, загрузка не выполняется.

Троянец представляет собой Java-апплет. Его запуск осуществляется с зараженной HTML-страницы при помощи тега ««, для которого в параметре «hint» передается в зашифрованном виде ссылка на загружаемый файл.

Кроме рассмотренного класса троянец включает в себя классы с именами «ISO» и «UTF». Класс «ISO» содержит функцию «sikilda», которая используется для расшифровки ссылки на загружаемый файл. Класс «UTF» содержит код, предназначенный для эксплуатации уязвимости (CVE-2010-0840). Уязвимыми являются JDK и JRE до 6-ой версии , 18-го обновления. Данная уязвимость проявляется вследствие ненадлежащей проверки при выполнении привилегированных методов в Java Runtime Environment, что позволяет злоумышленнику выполнить произвольный код при помощи определенным образом модифицированного объекта, являющегося подклассом доверенного класса.