De la grave vulnerabilidad Log4Shell (que afecta a la librería open source Log4J permitiendo ataques de ejecución de código remoto) hemos hablado ya en esta última semana: desde las condiciones en que trabajan los desarrolladores encargados de parchearla, hasta la presencia de la vulnerabilidad en uno de los vehículos de la NASA que está explorando ahora mismo marte.
El problema al que se enfrenta Internet con Log4Shell es que al contrario que otros ciberataques relevantes de los últimos tiempos, que afectaban a un número limitado de productos de software (en muchos casos sólo a uno), Log4j está integrado en prácticamente cada servicio web basado en Java.
Todos los ciberdelincuentes del mundo, a la caza de exploits
El pasado lunes los expertos ya hablaban de un "potencial de daño incalculable", y Adam Meyers, vicepresidente de la compañía de ciberseguridad Crowdstrike, declaraba que
"Internet está en llamas en este momento. Hay gente que está luchando para parchear [la vulnerabilidad] y aún más gente que está luchando para explotarla".
De modo que, una vez se hizo pública la vulnerabilidad (por cortesía de un ingeniero de Alibaba), comenzaron los escaneos masivos en Internet (sobre todo procedentes de la red Tor), con el objetivo de encontrar plataformas vulnerables. Prácticamente todos los grupos de cibercriminales y de hackers al servicio de estados han estado ocupados en ello durante esta última semana.
🚨⚠️New #0-day vulnerability tracked under "Log4Shell" and CVE-2021-44228 discovered in Apache Log4j 🌶️‼️ We are observing attacks in our honeypot infrastructure coming from the TOR network. Find Mitigation instructions here: https://t.co/tUKJSn8RPF pic.twitter.com/WkAn911rZX
— Deutsche Telekom CERT (@DTCERT) December 10, 2021
El pasado viernes —el día siguiente a la difusión de la existencia de Log4Shell—, Cloudflare ya estaba detectando una media de 5.483 escaneos por minuto es busca de servicios web vulnerables. La cifra fue creciendo progresivamente hasta este lunes, cuando ya se superaban los 24.600 por minuto (casi 35.500.000 al día).
Evolución de los ataques detectados por minuto aprovechando Log4J (vía Cloudflare).
En resumen: lo más probable es que todas aquellas plataformas vulnerables que no hayan implementado medidas de protección, a estas alturas ya habrán sido detectadas y atacadas.
Y lo peor no es que estén haciendo uso del primer exploit difundido por Chen Zhaojun, sino que en las primeras horas de difusión se crearon más de 60 nuevos exploits que utilizan las vulnerabilidades de Log4J con el fin de extraer datos.
Menos mal que los variantes de la COVID-19 no han surgido al mismo ritmo que los de Log4Shell (vía Check Point Soft.).
Según explicaba a comienzos de esta semana la empresa de ciberseguridad Check Point Software,
"El gran número de combinaciones disponibles para explotar Log4Shell proporciona al atacante muchas alternativas para eludir las últimas protecciones introducidas".
"Esto significa que una capa de protección no es suficiente, y solo una estrategia basada en el uso de varias capas de seguridad proporcionaría una protección resistente. Tres días después del brote, lo que estamos viendo es claramente una ciberpandemia del que aún no hemos visto su punto máximo".
De hecho, según los datos que maneja la compañía el 48,1% de todas las redes corporativas del mundo se habían visto afectadas durante los primeros días tras salir a la luz la vulnerabilidad (el 51,2% en el caso de Europa).
Vía | Cloudflare & Check Point & Sky News
