מעבדת קספרסקי פירסמה תוצאות מחקר המתייחס לאחת מהשיטות הנפוצות ביותר לפגיעה במחשבים – ניצול פרצות בתוכנות נפוצות, ובייחוד באמצעות שימוש בחבילות פריצה. על-פי החוקרים, פרצות ג'אווה הן האמצעי הנבחר של עברייני רשת, וקשה להגיד שהדבר מפתיע: ב-12 החודשים האחרונים בלבד נתגלו 161 פרצות בסביבת ג'אווה (JRE). בין מרץ לאוגוסט 2013, נרשמו ברשת אבטחת המידע של קספרסקי התקפות מבוססות על פרצות ג'אווה אשר השפיעו על יותר מ-2 מיליון משתמשים.
במהלך המחקר, מומחי מעבדת קספרסקי בחנו כיצד מחשבים נפרצו בעזרת חבילת הפריצה BlackHole, אחת מחבילות הפריצה הפופולריות בשוק לצד החבילות Nuclear Pack, Styx Pack ו- Sakura. חבילת ה- BlackHole כוללת התקפות נגדת פירצות ב-Adobe Reader, Adobe Flash Player, Oracle Java ותוכנות נפוצות אחרות. מאחר שהתפעול של כל חבילות הפריצה מתבססות על אלגוריתם דומה, מומחי מעבדת קספרסקי בחרו שלוש התקפות ג'אווה כדי להדגים את מנגנון העבודה של החבילות.
מקרה הבוחן של BlackHole גם משמש כדי להדגים כיצד מרכיבי אבטחה יכולים לתקשר עם קוד זדוני בשלבים שונים, כולל השלב בו הם מזהים התקפה על פירצה ספציפית:
- חסימת עמוד הנחיתה של חבילת הפריצה (כגון, עמוד הראשון של תהליך הפריצה אליו מופנה המשתמש מהאתר החוקי)
- זיהוי באמצעות אנטי וירוס (אם המשתמש מגיע בכל זאת לעמוד הפתיחה של חבילת הפריצה);
- זיהוי פריצה על בסיס חתימה (במקרה ופתרון אבטחת המידע נכשל בזיהוי העמוד הפותח של חבילת הפריצה)
- זיהוי פריצה פרו אקטיבי (נכנס לשימוש כאשר כל רכיבי אבטחת המידע מבוססי החתימה כושלים בזיהוי פעילות זדונית על-ידי סריקה של תוכן חבילת הפריצה, והחבילה מופעלת).
- זיהוי הורדות זדוניות (אם הפריצה מצליחה לחמוק מזיהוי, היא תנסה להוריד מטען זדוני ולהפעילו במחשב הפגוע).
"כיום, אם עבריין רשת רוצה לפגוע במחשבים, נניח עם גרסה של הסוס הטרויאני Zeus, כל מה שהוא צריך לעשות הוא לרכוש חבילת פריצה מוכנה, להגדיר אותה, ולמשוך אל עמוד הנחיתה את המספר הרב ביותר של קורבנות פוטנציאליים. הבעיה של 'חורים שחורים' נותרת בעינה למרות מחקרים הנעשים לגבי מנגנוני הפעולה של חבילות פריצה ופתרונות מקיפים המוצעים על-ידי ספקי אבטחת המידע. במקרה של ג'אווה, מפתח התוכנה הוא די מהיר בתגובותיו לפרצות חדשות המתגלות ומפרסם את העידכונים המתאימים. אך עדיין, משתמשי קצה בדרך כלל אינם ממהרים להתקין עידכונים, ועברייני הרשת מנצלים את ההזדמנות באמצעות יצירת תוכנות זדוניות התוקפות את הפרצות", אמר ויאצ'סלב זקורזבסקי, ראש קבוצת מחקר פרצות במעבדת קספרסקי.
עד עתה, חבילות פריצה סיפקו לעברייני רשת אמצעי אמין ביותר לפגיעה במחשבים, אם אף מערכת אבטחת מידע לא הותקנה בהם, ואם פועלת בהם לפחות תוכנה נפוצה אחת בעלת פירצה שלא תוקנה. אין זה מפתיע אם כן, כי פגיעה דרך חבילות פריצה היא פופולרית בקרב עברייני רשת: קשה מאוד למשתמשים תמימים ובלתי מוגנים לזהות אותה.
התהליך מתחיל על-ידי הפניית המשתמש לעמוד הנחיתה של חבילת הפריצה. עברייני הרשת משתמשים בטווח רחב של שיטות כדי לעשות זאת, כולל הודעות דואר זבל עם קישורים לעמוד. אך המקרה החמור ביותר הוא כאשר נפרצים אתרים רגילים, ומוזרק אליהם קוד או iframe. במקרים כאלה, מספיק שמשתמש מבקר באתר מוכר כדי שתופעל התקפה "על הדרך" וחבילת הפריצה תחל לפעול ללא חשד. עברייני רשת יכולים גם להשתמש במערכות פרסום רגילות, ולקשר באנרים וטיזרים לעמודים זדוניים.
הדרך הבטוחה היחידה למנוע התקפה היא להבטיח כי אף אחת מהתוכנות הנדרשות עבור חבילת הפריצה אינה מותקנת על המחשב. ברגע שמשתמש מבקר בעמוד נחיתה, עברייני הרשת שולפים מידע ממחשב הקורבן, כולל גרסת מערכת הפעלה, דפדפן ותוספים שהותקנו, הגדרות שפה ועוד. אם עברייני הרשת רואים כי השילוב המתאים נמצא במחשב – ועם הפרצות שנתגלות ביישומים הנפוצים, כגון אדובי וג'אווה, השילוב בדרך כלל נמצא – אזי מופעלת הפריצה המתאימה כדי להוציא לדרך את ההתקפה על המחשב הקורבן.
סיבה נוספת בגינה התקפה לא תצא לפועל, היא כדי למנוע מהתוכן של חבילת הפריצה מלהגיע לידיים של מומחי חברות אנטי וירוס או חוקרים אחרים. לדוגמא, עברייני רשת עלולים לחסום רשימת כתובות IP הנמצאות בשימוש על-ידי חברות מחקר (רובוטים, שרתי פרוקסי וסורקים), לחסום הפעלת פרצות על מכונות וירטואליות וכו'.
