Πολύ σοβαρή ευπάθεια εντοπίστηκε στην βιβλιοθήκη καταγραφής ανοικτού κώδικα Log4Shell

[famous-walker]

Είναι και το openbsd επισφαλές;

[euri]

Έχει βγει ήδη διορθωτική έκδοση της βιβλιοθήκης από το Apache Software Foundation. Εδώ η επίσημη ανακοίνωση.

Σχετική είδηση (adslgr.com).

[nnn]

Ψιλοχαμός

Hackers including Chinese state-backed groups have launched more than 840,000 attacks on companies globally since last Friday, according to researchers, through a previously unnoticed vulnerability in a widely used piece of open-source software called Log4J.

[tsigarid]

Τι μπορούμε να κάνουμε εμείς ως απλοί χρήστες, και πόσο πρέπει να ανησυχούμε;

[Zus]

Ψιλοχαμός

Προφανώς και σκαναρουν ότι υπάρχει και δεν υπάρχει αυτή τη στιγμή με επικοινωνία στον έξω κόσμο.

Δεν σκαναρουν μόνο Κινέζοι.

[euri]

Τι μπορούμε να κάνουμε εμείς ως απλοί χρήστες, και πόσο πρέπει να ανησυχούμε;

Ό,τι server έχεις, ειδικά τους εκτεθειμένους, να τους πατσάρεις.

Δυστυχώς ο τρόπος εκμετάλλευσης της συγκεκριμένης ευπάθειας είναι εύκολος και ύπουλος. Πχ, αλλάζεις κατάλληλα το όνομα στο κινητό σου τηλέφωνο, αυτό συνδέεται σε κάποιον server (mail, mobile device management, οτιδήποτε...), το logging system καταγράφει τη σύνδεση. Αν το logging system είναι το τρύπιο, μάντεψε...

[tsigarid]

Ό,τι server έχεις, ειδικά τους εκτεθειμένους, να τους πατσάρεις.

Πολύ γενικό αυτό. Έχουν βγει patches; Έχω 2 gentoo μηχανήματα, αν κάνω απλά update αρκεί;

[euri]

Πολύ γενικό αυτό. Έχουν βγει patches; Έχω 2 gentoo μηχανήματα, αν κάνω απλά update αρκεί;

Το Apache Software Foundation έχει βγάλει ενημερωμένη έκδοση της βιβλιοθήκης Log4j. Όμως συνήθως έρχεται ως κομμάτι εφαρμογής, οπότε μάλλον θα πρέπει να ενημερώσεις την αντίστοιχη εφαρμογή. Αν φυσικά υπάρχει ενημερωμένη έκδοση. Για παράδειγμα η Ubiquiti, ο software controller της οποίας χρησιμοποιεί την εν λόγω βιβλιοθήκη, έβγαλε αρκετά νωρίς ενημερωμένη έκδοση του controller με τη διορθωμένη βιβλιοθήκη.

[tsigarid]

Άρα αυτό που λες είναι ότι δεν χρειάζεται να κάνω τίποτα πέρα από τα updates που κάνω τακτικά και να ελπίζω για το καλύτερο.

[euri]

Ναι, μέσες άκρες

[YaWnX]

Ασφάλεια = updates + backup.

[SfH]

Μια ενδιαφέρουσα λίστα με σχετικές απαντήσεις εταιρειών : https://gist.github.com/SwitHak/b66d...71a8718970c592

Δυστυχώς, τα περισσότερα προϊόντα στη λίστα επηρεάζονται.

[nnn]

Δελτίο Τύπου:
Η Check Point Research (CPR) παρουσιάζει πώς λειτουργεί ένα Real-time LogJ4X Exploitation που χρησιμοποιεί μη ανιχνεύσιμο κακόβουλο λογισμικό για να στοχεύσει θύματα σε 5 χώρες

H CPR έχει εντοπίσει πολυάριθμες επιθέσεις που εκμεταλλεύονται την ευπάθεια Log4j και παρουσιάζει ένα λεπτομερές παράδειγμα για το πώς λειτουργεί μια πραγματική επίθεση. Ενώ οι περισσότεροι από τους χάκερ που εντοπίστηκαν αξιοποίησαν αυτή την ευπάθεια για να εξάγουν στοιχεία κρυπτογράφησης με βάση το Linux, οι ερευνητές της Check Pointεντόπισαν τώρα μια επίθεση στον κυβερνοχώρο που περιλαμβάνει για πρώτη φορά, ένα μη εντοπισμένο, κακόβουλο λογισμικό που βασίζεται στο NET. Η συγκεκριμένη επίθεση είχε ως στόχο πέντε θύματα στον χρηματοπιστωτικό, τραπεζικό κλάδο και στην αγορά software στις ακόλουθες χώρες: Ισραήλ, Ηνωμένες Πολιτείες, Νότια Κορέα, Ελβετία και Κύπρο. Ο διακομιστής που περιέχει τα κακόβουλα αρχεία βρίσκεται στις ΗΠΑ και φιλοξενεί πολλαπλά κακόβουλα αρχεία

Τέτοιου είδους επιθέσεις αποτελούν τα πρώτα στάδια επιθέσεων μεγάλης κλίμακας (όπως το ransomware). Είναι ένα είδος "ζωντανής δοκιμής" της ευπάθειας και των δυνατοτήτων της ζημίας που μπορεί να προκληθεί στα θύματα, για να πραγματοποιηθεί αργότερα μια μεγαλύτερη επίθεση.
Με απλά λόγια, μόλις εισαχθεί οποιοσδήποτε τύπος κακόβουλου λογισμικού, μια μεγαλύτερη επίθεση είναι μόνο θέμα χρόνου. Τεχνικά δεν υπάρχει μεγάλη διαφορά. Αυτό που τώρα παρατηρείται ως cryptomining, πολύ συχνά γίνεται στη συνέχεια ransomware και άλλοι τύποι επικίνδυνων επιθέσεων.

Επί του παρόντος, η CPR έχει εντοπίσει πάνω από 1.272.000 απόπειρες εκμετάλλευσης της ευπάθειας, οι οποίες επηρεάζουν πάνω από το 44% των εταιρικών δικτύων παγκοσμίως.

Πώς λειτουργεί η επίθεση:
Η επίθεση εκμεταλλεύεται την ευπάθεια Log4j για να κατεβάσει ένα κακόβουλο λογισμικό Trojan, το οποίο προκαλεί τη λήψη ενός αρχείου .exe που με τη σειρά του εγκαθιστά ένα crypto-miner. Μόλις εγκατασταθεί το crypto-miner, αρχίζει να χρησιμοποιεί τους πόρους του θύματος προκειμένου να εξορύξει κρυπτονόμισμα για το κέρδος των δραστών, και όλα αυτά χωρίς το θύμα να γνωρίζει ότι έχει παραβιαστεί. Στο πλαίσιο των τεχνικών αποφυγής του κακόβουλου λογισμικού, όλες οι σχετικές λειτουργίες και τα ονόματα αρχείων συσκοτίζονται για να αποφεύγεται η ανίχνευση από μηχανισμούς στατικής ανάλυσης.
Οι αριθμοί:
- Μέχρι στιγμής, η CPR έχει εντοπίσει πάνω από 1.272.000 προσπάθειες για κατανομή της ευπάθειας. Το 46% αυτών από γνωστές κακόβουλες ομάδες χάκερ.
- Έχουν καταγραφεί απόπειρες εκμετάλλευσης σε πάνω από το 44% των εταιρικών δικτύων παγκοσμίως

Σχόλιο: Lotem Finkelstein, Head of Threat Intelligence στην Check Point Software:
"Εντοπίσαμε έναν τεράστιο αριθμό προσπαθειών εκμετάλλευσης κατά τη διάρκεια των τελευταίων ημερών. Οι επιτιθέμενοι ανιχνεύουν ενεργά για εύρεση δυνητικά ευάλωτων στόχων και νέα εργαλεία σάρωσης για αυτή την ευπάθεια συνεχίζουν να εμφανίζονται. Οι επιθέσεις μικρότερης κλίμακας είναι ο τρόπος με τον οποίο αναπτύσσονται οι επιθέσεις μεγαλύτερης κλίμακας. Οι φορείς απειλών αρέσκονται στο να δοκιμάζουν τα εργαλεία και τους στόχους τους, οδηγώντας σε πιο επικίνδυνες επιθέσεις, όπως ransomware.

Πρόκειται σαφώς για ένα από τα πιο σοβαρά τρωτά σημεία στο διαδίκτυο τα τελευταία χρόνια και εξαπλώνεται σαν πυρκαγιά. Σε ορισμένα σημεία, είδαμε πάνω από 100 παραβιάσεις που σχετίζονταν με την ευπάθεια LogJ4, το λεπτό. Παρατηρούμε κάτι που φαίνεται να είναι μια εξελικτική καταστολή, με νέες παραλλαγές του αρχικού exploit να εισάγονται γρήγορα - περισσότερες από 60 σε λιγότερο από 24 ώρες. Ο αριθμός των συνδυασμών του τρόπου εκμετάλλευσης δίνει στον επιτιθέμενο πολλές εναλλακτικές λύσεις για να παρακάμψει τις νεοεισαχθείσες προστασίες. Αυτό σημαίνει ότι ένα επίπεδο προστασίας δεν είναι αρκετό, και μόνο μια πολυεπίπεδη στάση ασφαλείας θα παρείχε μια ανθεκτική προστασία.

Σε αντίθεση με άλλες σημαντικές επιθέσεις στον κυβερνοχώρο που αφορούν ένα ή περιορισμένο αριθμό λογισμικού, το Log4j είναι ουσιαστικά ενσωματωμένο σε κάθε προϊόν ή υπηρεσία ιστού που βασίζεται σε Java. Είναι πολύ δύσκολο να αποκατασταθεί χειροκίνητα. Μόλις δημοσιεύθηκε μια έρευνα (την Παρασκευή), ακολούθησαν σαρώσεις του διαδικτύου (για την κατανόηση των τρωτών σημείων λόγω του πρόσφατου συμβάντος). Αυτοί που δεν θα εφαρμόσουν μια λύση προστασίας, πιθανότατα έχουν ήδη γίνει αντικείμενο σάρωσης από κακόβουλους φορείς. Ήδη, έχουμε καταγράψει πάνω από 1.272.000 επιθέσεις, όπου πάνω από το 44% των εταιρικών δικτύων παγκοσμίως έχουν γίνει στόχοι.

Αυτή η ευπάθεια, λόγω της πολυπλοκότητας στην επιδιόρθωσή της και της ευκολίας εκμετάλλευσης, θα μας απασχολήσει για τα επόμενα χρόνια, εκτός εάν οι εταιρείες και οι υπηρεσίες λάβουν άμεσα μέτρα για να αποτρέψουν τις επιθέσεις στα προϊόντα τους, εφαρμόζοντας μια προστασία. Τώρα είναι η ώρα να δράσετε. Δεδομένης της εποχής της εορταστικής περιόδου, όπου οι ομάδες ασφαλείας μπορεί να είναι πιο αργές στην εφαρμογή προστατευτικών μέτρων, η απειλή είναι άμεση. Αυτό λειτουργεί σαν μια πανδημία στον κυβερνοχώρο - είναι εξαιρετικά μεταδοτική, εξαπλώνεται γρήγορα και έχει πολλαπλές παραλλαγές, οι οποίες επιβάλλουν περισσότερους τρόπους επίθεσης".
Περισσότερες πληροφορίες για την ευπάθεια LogJ4 και την διαπίστωση κατά την παρακολούθηση της από την Check Point Research πολλών επιθέσεων που αφορούν σε εξόρυξη κρυπτονομισμάτων από την εκμετάλευσή της, θα βρείτε εδώ.

[megahead13]

Μια ενδιαφέρουσα λίστα με σχετικές απαντήσεις εταιρειών : https://gist.github.com/SwitHak/b66d...71a8718970c592

Δυστυχώς, τα περισσότερα προϊόντα στη λίστα επηρεάζονται.

Ωραιος, θενξ!

[Zus]

Analyzing a Log4j Attack with Wireshark