Gli APT cinesi stanno utilizzando la vulnerabilità di Log4j.

La vulnerabilità di Log4j della Apache Software Foundation (CVE-2021-44228), scoperta dal ricercatore cinese p0rz9, ha già iniziato a essere sfruttata dai criminali informatici cinesi.

Si tratta di una vulnerabilità legata all’esecuzione di codice in modalità remota chiamata Log4Shell e ha ottenuto un punteggio massimo di 10 sulla scala CVSSv3 perché può essere sfruttata in remoto senza richiedere particolari competenze tecniche.

Un rischio critico è la diffusione di Log4j in quasi tutte le principali applicazioni e server aziendali basati su Java. Il problema riguarda le versioni di log4j tra 2.0-beta-9 e 2.14.1. La vulnerabilità era assente nella versione log4j 1 ed è stato risolta nella versione 2.15.0.

Come riportato in precedenza dagli esperti di Netlab 360, tramite Log4Shell gli hacker infettano i dispositivi Linux vulnerabili con malware per l’estrazione di criptovalute e l’esecuzione di attacchi DDoS.

Secondo la società di sicurezza informatica Check Point, circa il 40% delle reti aziendali in tutto il mondo è già stato attaccato da criminali informatici nel tentativo di sfruttare Log4Shell. I noti gruppi di criminali informatici sono responsabili del 46% dei tentativi di sfruttare le vulnerabilità nelle reti dei clienti di Check Point.

Sebbene non siano stati ancora segnalati incidenti di sfruttamento su larga scala, gli esperti temono che gli attacchi si stiano evolvendo.

Secondo le loro previsioni, gli hacker non si limiteranno solo a botnet e cryptominer, ma inizieranno a distribuire ransomware o altri software distruttivi su reti vulnerabili.

“Ci aspettiamo di vedere questa vulnerabilità nella catena di approvvigionamento di ogni organizzazione”

ha affermato Chris Evans, direttore senior della sicurezza delle informazioni per HackerOne.

Sembra che le previsioni dei ricercatori abbiano già iniziato a avverarsi. Sebbene la maggior parte dei dispositivi attaccati tramite Log4Shell esegua Linux, Bitdefender ha anche documentato i tentativi degli hacker di utilizzare la vulnerabilità per distribuire il ransomware Khonsari ai sistemi Windows e scaricare l’Orcus Remote Access Trojan (RAT).

Secondo Juan Andres Guerrero-Saade, ricercatore senior presso la società di sicurezza informatica SentinelOne, lui e i suoi colleghi stanno già registrando tentativi da parte di gruppi di criminali informatici cinesi di sfruttare Log4Shell.

Inoltre, come notato dagli esperti di Mandiant e Crowdstrike, gruppi di hacker altamente qualificati si sono già armati della vulnerabilità. In una lettera a Reuters, Mandiant ha descritto i gruppi come

“che lavorano per il governo cinese”.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Sandro Sana

Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA. Fa parte del Comitato Scientifico del Competence Center nazionale Cyber 4.0, dove contribuisce all’indirizzo strategico delle attività di ricerca, formazione e innovazione nella cybersecurity.

Aree di competenza: Cyber Threat Intelligence, NIS2, Governance & Compliance della Sicurezza, CSIRT & Crisis Management, Ricerca, Divulgazione e Cultura Cyber

Visita il sito web dell'autore