无情的 Log4j 攻击包括状态参与者、可能的蠕虫

已经针对一半的企业网络发起了超过 180 万次攻击以利用 Log4Shell。

称其为威胁的“僵局”：包括民族国家行为者在内的攻击者已经使用至少 70 个不同的恶意软件系列将安全公司遥测中的所有企业全球网络的一半作为目标——而 Log4j 漏洞的影响才刚刚开始。

过去几天，世界各地的键盘研究人员一直在追踪针对现在臭名昭著的 Log4j Java 库错误的攻击，该错误被称为Log4Shell (CVE-2021-44228)。旁注：Log4j 发音为“log forge”——尽管这是有争议的，因为它在对话中也被称为“log-four-jay”。经销商的选择在那里。

上周首次在 Minecraft 玩家中发现，新发现的漏洞为威胁行为者劫持服务器提供了巨大的机会，主要是使用硬币矿工和僵尸网络，但也有大量其他恶意软件，例如StealthLoader 木马——而且仅此而已。

Rapid7 的人工智能研究员 Erick Galinkin 告诉 Threatpost：“我们在暗网论坛上看到了很多讨论，包括共享扫描仪、绕过和漏洞利用。” “此时，我们和其他安全研究人员已经确定了 70 多个不同的恶意软件家族。”

例如，Bitdefender 研究人员本周发现，攻击者正试图利用 Log4Shell 向 Windows 计算机提供一种名为 Khonsari 的新型勒索软件。

Check Point 研究周三报告称，自上周五以来，其团队已在他们跟踪的几乎一半的公司网络上检测到 180 万次 Log4j漏洞利用尝试。

这些威胁行为者不是低技能的业余爱好者。Check Point 补充说，截至周三，伊朗黑客组织 Charming Kitten，也被称为 APT 35，被广泛认为是一个民族国家行为者，正在积极针对政府和商业部门的七个特定以色列组织。

“我们过去 48 小时的报告证明，犯罪黑客组织和民族国家行为者都在探索这个漏洞，我们都应该假设未来几天会有更多此类行为者的操作被揭露，”Check Point添加。

微软同时报告称，民族国家组织 Phosphorus（伊朗）和Hafnium（中国）以及来自朝鲜和土耳其的未命名 APT 正在积极利用 Log4Shell (CVE-2021-44228) 进行针对性攻击。Hafnium 以 3 月份的 ProxyLogon 零日攻击 Exchange 服务器而闻名，而 Phosphorus 则成为2020 年全球峰会和会议的头条新闻。

该公司在一篇帖子中表示：“这项活动的范围从开发过程中的实验、漏洞的集成到野外有效载荷的部署和针对目标的利用，以实现参与者的目标。”

下一个是 Log4j 蠕虫吗？

与此同时，研究员 Greg Linares 报告说，看到有证据表明正在开发一种自我传播的蠕虫，并且可能会在一天或更短的时间内出现。

网络安全社区内普遍认为他是正确的，但许多专家认为 Log4j 的后果不会像过去的WannaCry 或 NotPetya事件那样糟糕。

Digital Shadows 的高级网络威胁情报分析师 Chris Morgan 表示：“虽然我们可能会看到一种蠕虫在易受影响的 Log4j 设备之间传播，但目前还没有任何证据表明这是威胁行为者的优先事项。” ，告诉 Threatpost。“开发这种性质的恶意软件需要花费大量的时间和精力。”

“这项活动与 WannaCry 事件不同，后者见证了一个高度可利用的漏洞的完美风暴，同时在 EternalBlue 中发生了 NSA 级别的漏洞利用漏洞，”摩根补充道。

“对于 Log4j 来说，现在还为时过早，”Morgan 说。“虽然许多威胁行为者可能处于杀伤链的不同阶段，但大多数行为者可能仍在扫描易受攻击的系统，试图建立立足点，并根据他们的动机确定更多机会。现阶段的参与者正在努力在公司有机会修补之前急于利用，而不是花时间开发蠕虫。”

来自 Salt Security 的 Yaniv Balmas 等研究人员向 Threatpost 解释说，Log4j 蠕虫的出现并不是最坏的情况。

“虽然没有忽视这种蠕虫的影响，但这可能不是最糟糕的情况，因为这种攻击的应用非常容易，”巴尔马斯说。“拥有基本计算机和互联网访问权限的每个人都可以在几分钟内对数百万在线服务发起攻击。这与蠕虫产生的影响非常相似——它是分布式且不可预测的，由于蠕虫以自动方式‘盲目地’工作，破坏程度甚至可能比蠕虫还要高。”

他补充说，“在另一种情况下，攻击背后有真正的人，这些攻击可能针对特定实体或机构，并使攻击者能够随着攻击的进行微调。”

根据 Netenrich 的 John Bambanek 的说法，安全团队为防止漏洞利用修补 Log4j所做的不懈努力对防止出现任何蠕虫的发展有很大帮助。

“这个漏洞当然看起来很容易被感染，但是，好消息是我们已经有将近一周的时间开始处理检测、缓解和修补问题，”Bambenek 告诉 Threatpost。“那里会有很多易受攻击的机器，但到目前为止，已经处理了大量易受攻击的机器，还有更多机器受到 Web 应用程序防火墙 (WAF) 规则的保护（例如，周末部署了 Cloudflare 保护）。最坏的情况是上周出现了蠕虫，我们现在情况好多了。”

Log4j 的长尾

除了紧急修补措施之外，Galinkin 向 Threatpost 解释说，他担心的是，在 Log4j 脱离头条新闻很久之后，未修补的设备和系统仍然存在，特别是在学术界和医疗保健等领域。

“关于这个漏洞，需要注意的一个关键点是它会有一个非常长的尾巴，”他说。“医院往往只购买一次软件，但有时供应商会倒闭——导致不受支持的软件永远不会收到补丁。”

他补充说，“在学术界，大量的软件是由研究生或教授编写的，但这些人可能没有意识到这个错误，或者他们只是不再维护软件——在物理学、药理学和生物信息学中使用的软件. 这表明，在很长一段时间内，我们将继续看到对该漏洞的利用——可能是在孤立的事件中——。”