'Si no actualizas Java, estás infectado'

[Hispasec 07/08]   [...] 'en los últimos meses de 2012, hemos comprobado que en el 100% de los análisis  realizados (y no han sido pocos) la razón de la infección con troyanos bancarios era una máquina virtual Java desactualizada. En concreto dos
vulnerabilidades (aunque también otras más antiguas):

•   El fallo CVE-2012-0507, corregido el 14 de febrero por Oracle, permite  la ejecución de código. Desde entonces, se ha usado para el malware de la policía, los últimos Zbot, SpyEye... para la botnet de Mac OS X  recientemente destapada. Desde el 25 de marzo además, la vulnerabilidad se incorporó a varios kits de explotación usados por atacantes, como Blackhole, de los más completos y sofisticados actualmente. Contra esta  vulnerabilidad además, no son efectivos ASLR, DEP o incluso otras técnicas anti-ROP (para evitar que los atacantes eludan esas medidas en sus exploits).
  
   
• CVE-2012-1723. La sucesora de la anterior. Solucionada el 12 de junio  por Oracle. Más compleja de ofuscar por los atacantes y diferente, puesto que se trata de un problema en la implementación de la propia  JRE.

http://www.microsoft.com/security/portal/blog-images/CVE-2012-1723/CVE-2012-1723-fig2_trend.png


Cómo suele funcionar el exploit

La víctima visita cualquier web. Cualquiera: desde páginas pornográficas hasta ganchillo (ejemplos reales). No importa el navegador. De forma más o menos transparente (según el navegador) se carga el applet que explota  la vulnerabilidad. El usuario quedará infectado. ' [...]

Fuente y noticia completa: Hispasec 07/08/2012


[NOTA DEL EDITOR: se puede comprobar la versión de Java a la que accede tu navegador para la ejecución de applets visitando esta página de Oracle http://www.java.com/en/download/installed.jsp]