Πολυάριθμες είναι οι επιθέσεις που έχει εντοπίσει η CPR, οι οποίες εκμεταλλεύονται την ευπάθεια Log4j, παρουσιάζοντας ένα λεπτομερές παράδειγμα για το πώς λειτουργεί μια πραγματική επίθεση. Ενώ οι περισσότεροι από τους χάκερ που εντοπίστηκαν αξιοποίησαν αυτή την ευπάθεια για να εξάγουν στοιχεία κρυπτογράφησης με βάση το Linux, οι ερευνητές της Check Point εντόπισαν τώρα μια επίθεση στον κυβερνοχώρο που περιλαμβάνει για πρώτη φορά, ένα μη εντοπισμένο, κακόβουλο λογισμικό που βασίζεται στο NET.
Σύμφωνα με το zougla.gr η συγκεκριμένη επίθεση είχε ως στόχο πέντε θύματα στον χρηματοπιστωτικό, τραπεζικό κλάδο και στην αγορά software στις ακόλουθες χώρες: Ισραήλ, Ηνωμένες Πολιτείες, Νότια Κορέα, Ελβετία και Κύπρο. Ο διακομιστής που περιέχει τα κακόβουλα αρχεία βρίσκεται στις ΗΠΑ και φιλοξενεί πολλαπλά κακόβουλα αρχεία. Συγκεκριμένα τέτοιου είδους επιθέσεις αποτελούν τα πρώτα στάδια επιθέσεων μεγάλης κλίμακας (όπως το ransomware). Είναι ένα είδος " ζωντανής δοκιμής " της ευπάθειας και των δυνατοτήτων της ζημίας που μπορεί να προκληθεί στα θύματα, για να πραγματοποιηθεί αργότερα μια μεγαλύτερη επίθεση. Με απλά λόγια, μόλις εισαχθεί οποιοσδήποτε τύπος κακόβουλου λογισμικού, μια μεγαλύτερη επίθεση είναι μόνο θέμα χρόνου. Τεχνικά δεν υπάρχει μεγάλη διαφορά. Αυτό που τώρα παρατηρείται ως cryptomining, πολύ συχνά γίνεται στη συνέχεια ransomware και άλλοι τύποι επικίνδυνων επιθέσεων.
Ειδικότερα η CPR έχει εντοπίσει πάνω από 1.272.000 απόπειρες εκμετάλλευσης της ευπάθειας, οι οποίες επηρεάζουν πάνω από το 44% των εταιρικών δικτύων παγκοσμίως.
Η Λειτουργία της Επίθεσης
Η επίθεση εκμεταλλεύεται την ευπάθεια Log4j για να κατεβάσει ένα κακόβουλο λογισμικό Trojan, το οποίο προκαλεί τη λήψη ενός αρχείου .exe που με τη σειρά του εγκαθιστά ένα crypto-miner. Μόλις εγκατασταθεί το crypto-miner, αρχίζει να χρησιμοποιεί τους πόρους του θύματος προκειμένου να εξορύξει κρυπτονόμισμα για το κέρδος των δραστών, και όλα αυτά χωρίς το θύμα να γνωρίζει ότι έχει παραβιαστεί. Στο πλαίσιο των τεχνικών αποφυγής του κακόβουλου λογισμικού, όλες οι σχετικές λειτουργίες και τα ονόματα αρχείων συσκοτίζονται για να αποφεύγεται η ανίχνευση από μηχανισμούς στατικής ανάλυσης.
Οι αριθμοί:
- Μέχρι στιγμής, η CPR έχει εντοπίσει πάνω από 1.272.000 προσπάθειες για κατανομή της ευπάθειας. Το 46% αυτών από γνωστές κακόβουλες ομάδες χάκερ
- Έχουν καταγραφεί απόπειρες εκμετάλλευσης σε πάνω από το 44% των εταιρικών δικτύων παγκοσμίως
Τα σχόλια των Lotem Finkelstein και Head of Threat Intelligence στην Check Point Software
Οι εταιρείες Lotem Finkelstein και Head of Threat Intelligence έκαναν τις εξής δηλώσεις: « Εντοπίσαμε έναν τεράστιο αριθμό προσπαθειών εκμετάλλευσης κατά τη διάρκεια των τελευταίων ημερών. Οι επιτιθέμενοι ανιχνεύουν ενεργά για εύρεση δυνητικά ευάλωτων στόχων και νέα εργαλεία σάρωσης για αυτή την ευπάθεια συνεχίζουν να εμφανίζονται. Οι επιθέσεις μικρότερης κλίμακας είναι ο τρόπος με τον οποίο αναπτύσσονται οι επιθέσεις μεγαλύτερης κλίμακας. Οι φορείς απειλών αρέσκονται στο να δοκιμάζουν τα εργαλεία και τους στόχους τους, οδηγώντας σε πιο επικίνδυνες επιθέσεις, όπως ransomware ».
Έπειτα πρόσθεσαν πως « Πρόκειται σαφώς για ένα από τα πιο σοβαρά τρωτά σημεία στο διαδίκτυο τα τελευταία χρόνια και εξαπλώνεται σαν πυρκαγιά. Σε ορισμένα σημεία, είδαμε πάνω από 100 παραβιάσεις που σχετίζονταν με την ευπάθεια LogJ4, το λεπτό. Παρατηρούμε κάτι που φαίνεται να είναι μια εξελικτική καταστολή, με νέες παραλλαγές του αρχικού exploit να εισάγονται γρήγορα - περισσότερες από 60 σε λιγότερο από 24 ώρες. Ο αριθμός των συνδυασμών του τρόπου εκμετάλλευσης δίνει στον επιτιθέμενο πολλές εναλλακτικές λύσεις για να παρακάμψει τις νεοεισαχθείσες προστασίες. Αυτό σημαίνει ότι ένα επίπεδο προστασίας δεν είναι αρκετό, και μόνο μια πολυεπίπεδη στάση ασφαλείας θα παρείχε μια ανθεκτική προστασία.
Σε αντίθεση με άλλες σημαντικές επιθέσεις στον κυβερνοχώρο που αφορούν ένα ή περιορισμένο αριθμό λογισμικού, το Log4j είναι ουσιαστικά ενσωματωμένο σε κάθε προϊόν ή υπηρεσία ιστού που βασίζεται σε Java. Είναι πολύ δύσκολο να αποκατασταθεί χειροκίνητα. Μόλις δημοσιεύθηκε μια έρευνα (την Παρασκευή), ακολούθησαν σαρώσεις του διαδικτύου (για την κατανόηση των τρωτών σημείων λόγω του πρόσφατου συμβάντος). Αυτοί που δεν θα εφαρμόσουν μια λύση προστασίας, πιθανότατα έχουν ήδη γίνει αντικείμενο σάρωσης από κακόβουλους φορείς. Ήδη, έχουμε καταγράψει πάνω από 1.272.000 επιθέσεις, όπου πάνω από το 44% των εταιρικών δικτύων παγκοσμίως έχουν γίνει στόχοι ».
Τέλος έκλεισαν λέγοντας πως « Αυτή η ευπάθεια, λόγω της πολυπλοκότητας στην επιδιόρθωσή της και της ευκολίας εκμετάλλευσης, θα μας απασχολήσει για τα επόμενα χρόνια, εκτός εάν οι εταιρείες και οι υπηρεσίες λάβουν άμεσα μέτρα για να αποτρέψουν τις επιθέσεις στα προϊόντα τους, εφαρμόζοντας μια προστασία. Τώρα είναι η ώρα να δράσετε. Δεδομένης της εποχής της εορταστικής περιόδου, όπου οι ομάδες ασφαλείας μπορεί να είναι πιο αργές στην εφαρμογή προστατευτικών μέτρων, η απειλή είναι άμεση. Αυτό λειτουργεί σαν μια πανδημία στον κυβερνοχώρο - είναι εξαιρετικά μεταδοτική, εξαπλώνεται γρήγορα και έχει πολλαπλές παραλλαγές, οι οποίες επιβάλλουν περισσότερους τρόπους επίθεσης ».
Με πληροφορίες από zougla.gr
