As vulnerabilidades do Log4j estão se acumulando enquanto as empresas lutam para corrigir
A crise gigantesca estimulada pelo log4j ainda não acabou - nem perto disso. Na semana passada, novas vulnerabilidades foram descobertas na desafortunada biblioteca de registro Apache (cuja vulnerabilidade onipresente é apelidada de “Log4Shell” no mundo da infosec), mas, de acordo com especialistas, não há necessidade de entrar em pânico. Aqui está uma rápida olhada nos desenvolvimentos mais recentes e como os profissionais de segurança estão respondendo.
A correção de software nem sempre é um processo super direto, e em nenhum lugar isso foi mais evidente do que no fiasco do log4j. Na semana passada, o Apache emitiu vários patches, mas com cada patch sucessivo, surgiram problemas adicionais.
Na sexta-feira, o Apache lançou seu terceiro patch, versão 2.17.0 , destinado a corrigir uma vulnerabilidade recém-descoberta que permitiria ataques de negação de serviço (essa nova falha está sendo rastreada oficialmente como CVE-2021-45105 ).
O patch anterior, 2.16.0 , foi lançado depois que o 2.15.0 —o patch original— falhou em mitigar uma exploração de ataque remoto que, em alguns casos, poderia ter permitido o roubo de dados. Em outras palavras, o patch destinado a corrigir a vulnerabilidade original tinha sua própria vulnerabilidade e o patch para corrigir esse patch também apresentava problemas. Coisa boa.
Dito isso, essas falhas de segurança mais recentes não são tão graves quanto as originais e não devem ser algo para perder muito sono, de acordo com alguns especialistas.
É a vulnerabilidade original, CVE-2021-44228 , que, se não for corrigida, ainda é o material dos pesadelos da segurança cibernética.
Outro episódio pitoresco dessa saga foi um debate recente entre profissionais de segurança sobre se o log4j gerou um worm ou não.
No domingo, um pesquisador de segurança, Germán Fernández, afirmou ter detectado um worm – um programa malicioso de autopropagação – que estava afetando dispositivos que não haviam corrigido a vulnerabilidade log4j. O VX Underground, um grande repositório online de amostras de malware e acadêmicos relacionados, compartilhou as descobertas do pesquisador: “O pesquisador de segurança @1ZRR4H identificou o primeiro worm Log4J. É um bot Mirai autopropagado. Nós agregamos a amostra”, twittou a conta de VX . Greg Linares, outro pesquisador de segurança, disse que parecia que o programa malicioso visava principalmente roteadores Huawei não corrigidos.
No entanto, outros especialistas rapidamente jogaram água fria em algumas dessas alegações - apontando que o programa não parecia ser tão funcional e pode nem mesmo se qualificar tecnicamente como um worm. “Eu fiz engenharia reversa desse suposto worm log4j e não funcionou”, tuitou Marcus Hutchins, um importante pesquisador de segurança cibernética. “Também há vários bugs no código que significam que, mesmo que corrigissem a falha principal, ainda seria completamente ineficaz.”
Os especialistas em segurança também discutiram sobre a gravidade de um worm no contexto do log4j. Tom Kellermann, chefe de estratégia de segurança cibernética da VMware, disse recentemente ao ZDnet que um worm poderia ser potencialmente “armado” por uma potência estrangeira hostil ou serviço de inteligência – cujo resultado final poderia ser muito ruim.
Enquanto isso, uma explosão de tentativas de exploração destinadas ao log4j continua revelando novas estratégias de ataque.
Na segunda-feira, o Ministério da Defesa da Bélgica revelou que foi forçado a desligar partes de sua rede depois que um grupo de hackers explorou o log4j para obter acesso a seus sistemas. Embora não tenha sido revelado muito mais sobre o incidente, é um dos exemplos mais visíveis do bug do Apache sendo usado para causar danos no mundo real. Definitivamente não será o último.
De fato, relatórios recentes mostram grupos criminosos motivados financeiramente entrando na briga – incluindo trojans bancários. Além disso, gangues de ransomware, atividades de ciberespionagem de estado-nação e mineração de criptografia também foram detectadas. Os corretores de acesso inicial – cibercriminosos que invadem dispositivos e redes de computadores com a intenção de reverter e vender esse acesso a outros criminosos (principalmente hackers de ransomware) – têm saqueado sistemas vulneráveis ao log4j. A equipe de segurança da Microsoft publicou uma pesquisa na semana passada que mostrou que “vários grupos de atividades rastreadas agindo como corretores de acesso começaram a usar a vulnerabilidade para obter acesso inicial às redes de destino”.
Resumindo: a diversão continua! Continuaremos a acompanhar as mudanças mais amplas de toda essa crise à medida que ela se desenrola.
