Các lỗ hổng Log4j đang chồng chất lên khi các công ty tranh nhau để vá

Cuộc khủng hoảng khổng lồ do log4j thúc đẩy vẫn chưa kết thúc — thậm chí chưa kết thúc. Trong tuần qua, các lỗ hổng mới đã được phát hiện trong thư viện ghi nhật ký Apache đáng tiếc (lỗ hổng phổ biến được đặt tên là “Log4Shell” trong thế giới infosec) nhưng theo các chuyên gia, không cần phải quá hoảng sợ. Dưới đây là một cái nhìn nhanh về những phát triển mới nhất và cách các chuyên gia bảo mật đang phản hồi.

Việc vá lỗi phần mềm không phải lúc nào cũng là một quá trình siêu đơn giản và không nơi nào điều này thể hiện rõ ràng hơn trong sự cố log4j. Trong tuần qua, Apache đã phát hành một số bản vá, nhưng với mỗi bản vá liên tiếp, các vấn đề khác lại xuất hiện.

Vào thứ Sáu, Apache đã phát hành bản vá thứ ba, phiên bản 2.17.0 , nhằm sửa chữa một lỗ hổng mới được phát hiện có thể cho phép các cuộc tấn công Từ chối Dịch vụ (lỗ hổng mới đó đang được theo dõi chính thức với tên gọi CVE-2021-45105 ).

Bản vá trước đó, 2.16.0 , đã được phát hành sau 2.15.0 — bản vá ban đầu — đã không thể giảm thiểu việc khai thác tấn công từ xa, trong một số trường hợp, có thể cho phép đánh cắp dữ liệu. Nói cách khác, bản vá nhằm sửa chữa lỗ hổng ban đầu có lỗ hổng riêng và bản vá để sửa bản vá đó cũng có vấn đề. Đồ tốt.

Tất cả những gì đã nói, những lỗi bảo mật mới hơn này không nghiêm trọng như bản gốc và không nên để mất quá nhiều thời gian, theo một số chuyên gia.

Đó là lỗ hổng ban đầu, CVE-2021-44228 , nếu vẫn chưa được vá - vẫn là cơn ác mộng về an ninh mạng.

Một tình tiết đầy màu sắc khác trong câu chuyện này là một cuộc tranh luận gần đây giữa các chuyên gia bảo mật về việc liệu log4j có sinh ra một con sâu hay không.

Vào Chủ nhật, một nhà nghiên cứu bảo mật, Germán Fernández,  tuyên bố rằng ông đã phát hiện ra một con sâu — một chương trình tự lan truyền độc hại — đang ảnh hưởng đến các thiết bị chưa vá lỗ hổng log4j. VX Underground, một kho lưu trữ trực tuyến lớn về các mẫu phần mềm độc hại và các học viện liên quan, đã chia sẻ những phát hiện của nhà nghiên cứu: “Nhà nghiên cứu bảo mật @ 1ZRR4H đã xác định được sâu Log4J đầu tiên. Nó là một bot Mirai tự nhân giống. Chúng tôi đã tổng hợp mẫu ”, tài khoản VX tweet . Greg Linares, một nhà nghiên cứu bảo mật khác, cho biết có vẻ như chương trình độc hại này chủ yếu nhắm vào các bộ định tuyến chưa được vá lỗi của Huawei.

Tuy nhiên, các chuyên gia khác đã nhanh chóng dội gáo nước lạnh vào một số tuyên bố này - chỉ ra rằng chương trình dường như không có đủ chức năng và thậm chí có thể không đủ tiêu chuẩn về mặt kỹ thuật như một con sâu. Marcus Hutchins, một nhà nghiên cứu an ninh mạng nổi tiếng đã tweet: “Tôi đã thiết kế ngược lại loại sâu log4j được cho là này và nó hoàn toàn không hoạt động” . "Ngoài ra còn có một số lỗi trong mã có nghĩa là ngay cả khi họ đã sửa lỗi cốt lõi, nó vẫn hoàn toàn không hiệu quả."

Tương tự, các chuyên gia bảo mật cũng quan tâm đến mức độ nghiêm trọng của một con sâu trong bối cảnh của log4j. Tom Kellermann, người đứng đầu chiến lược an ninh mạng của VMware, gần đây đã nói với ZDnet rằng một con sâu có khả năng bị “vũ khí hóa” bởi một thế lực thù địch hoặc cơ quan tình báo nước ngoài - kết quả cuối cùng của việc này có thể khá tệ.

Trong khi đó, sự bùng nổ của các nỗ lực khai thác nhằm vào log4j tiếp tục tiết lộ các chiến lược tấn công mới.

Hôm thứ Hai, Bộ Quốc phòng Bỉ tiết lộ rằng họ đã buộc phải đóng cửa các phần của mạng của mình sau khi một nhóm tin tặc khai thác log4j để xâm nhập vào hệ thống của họ. Mặc dù không có nhiều thông tin khác được tiết lộ về vụ việc, nhưng đây là một trong những ví dụ dễ thấy nhất về việc lỗi Apache được sử dụng để gây ra thiệt hại trong thế giới thực. Nó chắc chắn sẽ không phải là lần cuối cùng.

Thật vậy, các báo cáo gần đây cho thấy các nhóm tội phạm có động cơ tài chính tham gia vào cuộc chiến - bao gồm cả trojan ngân hàng. Ngoài ra, các băng đảng ransomware, hoạt động gián điệp mạng cấp quốc gia và khai thác tiền điện tử cũng đã được phát hiện. Các công ty môi giới truy cập ban đầu — tội phạm hack thiết bị và mạng máy tính với mục đích quay lại và bán quyền truy cập đó cho tội phạm khác (chủ yếu là tin tặc ransomware) —đã cướp đoạt các hệ thống dễ bị tấn công bằng log4j. Nhóm bảo mật của Microsoft đã công bố nghiên cứu vào tuần trước cho thấy “nhiều nhóm hoạt động được theo dõi đóng vai trò môi giới truy cập đã bắt đầu sử dụng lỗ hổng để có được quyền truy cập ban đầu vào các mạng mục tiêu”.

Tóm lại: Cuộc vui vẫn tiếp tục! Chúng tôi sẽ tiếp tục theo dõi những thay đổi lớn hơn của toàn bộ cuộc khủng hoảng này khi nó diễn ra.