|
Здравия всем, дамы и господа. Пока статья о Conti готовится я решил объеденить все материалы, что сейчас есть на Log4Shell, т.к. тема всё-таки новая, а Conti уже и так достаточно долго ждал, подождёт ещё недельку.
Группа облачной безопасности Alibaba сообщает Apache об уязвимости. 1-10 декабря Имеются сообщения об использовании уязвимости злоумышленниками.10 декабря Я думаю многие из вас читали мою новостную статью за тот период. Тогда я впервые узнал про Log4Shell. Думаю, некоторые из вас тоже.Первый PoC-эксплойт (Proof of Concept) появился в сети в ночь с 9 на 10 декабря, что, видимо, и стало точкой невозврата. Цитата:
Выше было упомянуто, что Minecraft уязвим. Так вот, в этот же день, буквально через 10 часов после публикации первого PoC-эксплойта Mojang Studios выпустил экстренное обновление безопасности Minecraft для устранения критической ошибки Apache Log4j, используемой клиентом Java Edition игры и многопользовательскими серверами. Уязвимость исправлена в выпуске Minecraft: Java Edition 1.18.1, который сразу же был распространён для всех клиентов. Тем же вечером исследователи из компании Cybereason выпустили “вакцину”, с помощью которой можно исправить уязвимость удалённо. Исправление реализовывалось посредством эксплуатации сервера и отключения параметра «trustURLCodebase» на удаленном сервере Log4j для уменьшения уязвимости. Проект получил название Logout4Shell. Конечно, уже на тот момент лучшим решением было обновление библиотеки, но и то, что предлагал проект было весьма неплохо. GitHub - Cybereason/Logout4Shell: Use Log4Shell vulnerability to vaccinate a victim server against Log4Shell Сразу, как уязвимость стала набирать популярность, были замечены инциденты установки вредоносного ПО. Злоумышленники, стоящие за бэкдором Kinsing и ботнетом для майнинга криптовалют, активно пользовались уязвимостью Log4j с полезными нагрузками в кодировке Base64, которые заставляют уязвимый сервер загружать и выполнять сценарии оболочки. Этот сценарий оболочки удалял конкурирующие вредоносные программы с уязвимого устройства, а затем загружал и устанавливал вредоносное ПО Kinsing, которое начнет добычу криптовалюты. Устанавливались также ботнеты Mirai и Mustik. Маяки Cobalt Strike тоже устанавливались через уязвимость. Ну и, совсем уж очевидное – раскрытие информации. 11 декабря Директор CISA Джон Истерли сделал официальное заявление по поводу Log4Shell, в котором он говорит, что в агенстве принимают срочные меры для устранения уязвимости и выявления любых связанных с ней угроз. Также уязвимость добавлена в каталог известных эксплуатируемых уязвимостей, что вынуждает федеральные гражданские агентства и их нефедеральных партнеров срочно устранять эту уязвимость.Statement from CISA Director Easterly on “Log4j” Vulnerability | CISA 13 декабря С помощью Log4Shell установился вымогатель Khonsari. Это первый зарегистрирированный случай, когда для загрузки шифровальщика использовалась уязвимость Log4Shell.Однако проанализировав записку, оставленную злоумышленниками стало ясно, что, скорее всего, это не вымогатель, а, так называемый “очиститель”, ведь контактные данные, указанные в записке принадлежат владельцу антикварного магазина в Луизиане. 14 декабря В ответ на заявление гоподина Истерли (11 декабря) компании начали проверку и уже через три дня отчитались о результатах.
16 декабря Некоторые злоумышленники, использующие уязвимость Apache Log4j, переключились с URL-адресов обратного вызова LDAP на RMI или даже использовали оба в одном запросе для максимальных шансов на успех. Этот сдвиг явился заметным событием в атаке. Большинство атак, нацеленных на уязвимость Log4j «Log4Shell», осуществлялись через службу LDAP (облегченный протокол доступа к каталогам). Переход на RMI (Remote Method Invocation) API сначала кажется нелогичным, учитывая, что этот механизм подвергается дополнительным проверкам и ограничениям, но это не всегда так. Некоторые версии JVM (виртуальная машина Java) не содержат строгих политик, и поэтому RMI иногда может быть более простым каналом для достижения RCE (удаленное выполнение кода), чем LDAP. Более того, запросы LDAP уже были закреплены как часть цепочки заражения и стали более тщательно контролироваться защитниками. Например, многие инструменты IDS / IPS фильтровали запросы с помощью JNDI и LDAP, поэтому есть вероятность, что RMI на этом этапе может быть проигнорирован.Примерно в то же время были обнаружены свидетельства использования Log4Shell для заражения майнером Monero. 17 декабря Вот и пересеклись дорожки. Conti стала использовать Log4Shell для взлома серверов VMware vCenter.Log4Shell стали использовать для распространения шифровальзиков из, как многие думали, неактивного семейства TellYouThePass. Целями являются как Windows устройства, так и Linux. 18 декабря Уязвимость Denial of Service (DoS) была найдена в версии Log4j 2.16, но к счастью почти в это же время была выпущена версия 2.17. Изначально считалось, что эта уязвимость совершенно не представляет опасности, однако от этого мнения быстро отказались, ведь если по какой-либо причине будет предпринята попытка подстановки “$ {$ {:: - $ {:: - $$ {:: - j}}}}” в строке, это вызовет бесконечную рекурсию, и приложение выйдет из строя.20 декабря Добрались наконец до банковских троянов! Dridex также научился пользоваться эксплойтом и получил, можно сказать, нову жизнь. Вредоносное ПО Dridex - это банковский троян, изначально разработанный для кражи учетных данных онлайн-банкинга у жертв. Однако со временем вредоносная программа превратилась в загрузчик, который загружает различные модули, которые могут использоваться для выполнения различного вредоносного поведения, такого как установка дополнительных полезных нагрузок, распространение на другие устройства, создание снимков экрана и т.д.22 декабря CISA выпустила сканер веб-приложений на предмет уязвимости Log4Shell. Выделяется следующий функционал:
23 декабря Сканер Microsoft Defender выдаёт ложные срабатывания якобы на проникновение Log4Shell. Чаще всего это происходит на серверах Windows Server 2016.28 декабря В самой, на тот момент, новой версии Log4j (2.17) была обнаружена очередная RCE-уязвимость и исправлена в версии 2.17.1.29 декабря Одна из крупнейших вьетнамских платформ для торговли криптовалютой, ONUS, подверглась кибератаке на ее платежную систему с уязвимой версией Log4j. Достаточно скоро злоумышленники обратились в ONUS с просьбой заплатить сумму в 5 миллионов долларов и пригрозили опубликовать данные о клиентах, если ONUS откажется подчиниться. После отказа компании заплатить выкуп злоумышленники выставили на форумах данные о почти 2 миллионах клиентов ONUS.Злоумышленники утверждают, что у них есть копии 395 таблиц базы данных ONUS с личной информацией клиентов и хеш-паролями. Образцы также включали неотредактированные изображения удостоверений личности клиентов, паспортов и предоставленные клиентами видеоклипы для селфи, полученные в процессе подтверждения личности. Вот и всё. На данный момент это всё, что мне удалось найти про Log4Shell. Почему я вдруг решил об этом написать? Пожалуй по той причине, что я давно хотел написать что-то объёмное и не особо касающееся новостей. Надеюсь получилось читаемо и интересно. Если так, то я продолжу и следующей в подобом формате выйдет статья о Conti. А сейчас я пойду рисовать обложку для статьи и публиковать её. Перед уходом хотелось бы поздравить всех с наступающим новым годом и пожелать всего информационного, технологичного и безопасного, за сим откланяюсь. |
Ооо Морти почитаю)
|
Вообще не техническая статья , а пересказ хронологии
|
| Время: 00:38 |