H CPR έχει εντοπίσει πολυάριθμες επιθέσεις που εκμεταλλεύονται την ευπάθεια Log4j και παρουσιάζει ένα λεπτομερές παράδειγμα για το πώς λειτουργεί μια πραγματική επίθεση. Ενώ οι περισσότεροι από τους χάκερ που εντοπίστηκαν αξιοποίησαν αυτή την ευπάθεια για να εξάγουν στοιχεία κρυπτογράφησης με βάση το Linux, οι ερευνητές της Check Point εντόπισαν τώρα μια επίθεση στον κυβερνοχώρο που περιλαμβάνει για πρώτη φορά, ένα μη εντοπισμένο, κακόβουλο λογισμικό που βασίζεται στο NET. Η συγκεκριμένη επίθεση είχε ως στόχο πέντε θύματα στον χρηματοπιστωτικό, τραπεζικό κλάδο και στην αγορά software στις ακόλουθες χώρες: Ισραήλ, Ηνωμένες Πολιτείες, Νότια Κορέα, Ελβετία και Κύπρο. Ο διακομιστής που περιέχει τα κακόβουλα αρχεία βρίσκεται στις ΗΠΑ και φιλοξενεί πολλαπλά κακόβουλα αρχεία
Τέτοιου είδους επιθέσεις αποτελούν τα πρώτα στάδια επιθέσεων μεγάλης κλίμακας (όπως το ransomware). Είναι ένα είδος "ζωντανής δοκιμής" της ευπάθειας και των δυνατοτήτων της ζημίας που μπορεί να προκληθεί στα θύματα, για να πραγματοποιηθεί αργότερα μια μεγαλύτερη επίθεση.
Με απλά λόγια, μόλις εισαχθεί οποιοσδήποτε τύπος κακόβουλου λογισμικού, μια μεγαλύτερη επίθεση είναι μόνο θέμα χρόνου. Τεχνικά δεν υπάρχει μεγάλη διαφορά. Αυτό που τώρα παρατηρείται ως cryptomining, πολύ συχνά γίνεται στη συνέχεια ransomware και άλλοι τύποι επικίνδυνων επιθέσεων.
Επί του παρόντος, η CPR έχει εντοπίσει πάνω από 1.272.000 απόπειρες εκμετάλλευσης της ευπάθειας, οι οποίες επηρεάζουν πάνω από το 44% των εταιρικών δικτύων παγκοσμίως.
Πώς λειτουργεί η επίθεση
Η επίθεση εκμεταλλεύεται την ευπάθεια Log4j για να κατεβάσει ένα κακόβουλο λογισμικό Trojan, το οποίο προκαλεί τη λήψη ενός αρχείου .exe που με τη σειρά του εγκαθιστά ένα crypto-miner. Μόλις εγκατασταθεί το crypto-miner, αρχίζει να χρησιμοποιεί τους πόρους του θύματος προκειμένου να εξορύξει κρυπτονόμισμα για το κέρδος των δραστών, και όλα αυτά χωρίς το θύμα να γνωρίζει ότι έχει παραβιαστεί. Στο πλαίσιο των τεχνικών αποφυγής του κακόβουλου λογισμικού, όλες οι σχετικές λειτουργίες και τα ονόματα αρχείων συσκοτίζονται για να αποφεύγεται η ανίχνευση από μηχανισμούς στατικής ανάλυσης.
Οι αριθμοί:
- Μέχρι στιγμής, η CPR έχει εντοπίσει πάνω από 1.272.000 προσπάθειες για κατανομή της ευπάθειας. Το 46% αυτών από γνωστές κακόβουλες ομάδες χάκερ.
- Έχουν καταγραφεί απόπειρες εκμετάλλευσης σε πάνω από το 44% των εταιρικών δικτύων παγκοσμίως
Σχόλιο: Lotem Finkelstein, Head of Threat Intelligence στην Check Point Software:
"Εντοπίσαμε έναν τεράστιο αριθμό προσπαθειών εκμετάλλευσης κατά τη διάρκεια των τελευταίων ημερών. Οι επιτιθέμενοι ανιχνεύουν ενεργά για εύρεση δυνητικά ευάλωτων στόχων και νέα εργαλεία σάρωσης για αυτή την ευπάθεια συνεχίζουν να εμφανίζονται. Οι επιθέσεις μικρότερης κλίμακας είναι ο τρόπος με τον οποίο αναπτύσσονται οι επιθέσεις μεγαλύτερης κλίμακας. Οι φορείς απειλών αρέσκονται στο να δοκιμάζουν τα εργαλεία και τους στόχους τους, οδηγώντας σε πιο επικίνδυνες επιθέσεις, όπως ransomware.
Πρόκειται σαφώς για ένα από τα πιο σοβαρά τρωτά σημεία στο διαδίκτυο τα τελευταία χρόνια και εξαπλώνεται σαν πυρκαγιά. Σε ορισμένα σημεία, είδαμε πάνω από 100 παραβιάσεις που σχετίζονταν με την ευπάθεια LogJ4, το λεπτό. Παρατηρούμε κάτι που φαίνεται να είναι μια εξελικτική καταστολή, με νέες παραλλαγές του αρχικού exploit να εισάγονται γρήγορα - περισσότερες από 60 σε λιγότερο από 24 ώρες. Ο αριθμός των συνδυασμών του τρόπου εκμετάλλευσης δίνει στον επιτιθέμενο πολλές εναλλακτικές λύσεις για να παρακάμψει τις νεοεισαχθείσες προστασίες. Αυτό σημαίνει ότι ένα επίπεδο προστασίας δεν είναι αρκετό, και μόνο μια πολυεπίπεδη στάση ασφαλείας θα παρείχε μια ανθεκτική προστασία.
Σε αντίθεση με άλλες σημαντικές επιθέσεις στον κυβερνοχώρο που αφορούν ένα ή περιορισμένο αριθμό λογισμικού, το Log4j είναι ουσιαστικά ενσωματωμένο σε κάθε προϊόν ή υπηρεσία ιστού που βασίζεται σε Java. Είναι πολύ δύσκολο να αποκατασταθεί χειροκίνητα. Μόλις δημοσιεύθηκε μια έρευνα (την Παρασκευή), ακολούθησαν σαρώσεις του διαδικτύου (για την κατανόηση των τρωτών σημείων λόγω του πρόσφατου συμβάντος). Αυτοί που δεν θα εφαρμόσουν μια λύση προστασίας, πιθανότατα έχουν ήδη γίνει αντικείμενο σάρωσης από κακόβουλους φορείς. Ήδη, έχουμε καταγράψει πάνω από 1.272.000 επιθέσεις, όπου πάνω από το 44% των εταιρικών δικτύων παγκοσμίως έχουν γίνει στόχοι.
Αυτή η ευπάθεια, λόγω της πολυπλοκότητας στην επιδιόρθωσή της και της ευκολίας εκμετάλλευσης, θα μας απασχολήσει για τα επόμενα χρόνια, εκτός εάν οι εταιρείες και οι υπηρεσίες λάβουν άμεσα μέτρα για να αποτρέψουν τις επιθέσεις στα προϊόντα τους, εφαρμόζοντας μια προστασία. Τώρα είναι η ώρα να δράσετε. Δεδομένης της εποχής της εορταστικής περιόδου, όπου οι ομάδες ασφαλείας μπορεί να είναι πιο αργές στην εφαρμογή προστατευτικών μέτρων, η απειλή είναι άμεση. Αυτό λειτουργεί σαν μια πανδημία στον κυβερνοχώρο - είναι εξαιρετικά μεταδοτική, εξαπλώνεται γρήγορα και έχει πολλαπλές παραλλαγές, οι οποίες επιβάλλουν περισσότερους τρόπους επίθεσης".
