Les pirates informatiques exploitent activement la faille Log4Shell dans Apache Log4j

Log4Shell, une grave vulnérabilité zero-day dans la bibliothèque Apache Log4j, met en lumière les pratiques risquées des organisations s’appuyant sur des bibliothèques de code open source pour créer des applications à l’échelle de l’entreprise. La vulnérabilité d’exécution de code à distance (RCE) CVE-2021-44228 permettrait aux pirates informatiques distants d’exécuter du code arbitraire et de prendre le contrôle total des appareils vulnérables.

Apache Log4j est une bibliothèque de journalisation Java populaire exploitée par de nombreuses organisations dans le monde entier pour permettre la journalisation dans un large éventail d’applications populaires.

Les chercheurs en sécurité de Netlab ont déclaré que les adversaires exploitaient activement les serveurs vulnérables en tirant parti de Log4Shell pour déployer des mineurs de crypto-monnaie et des variantes de logiciels malveillants comme Cobalt Strike.

Botnets pour exploiter Log4Shell

Les chercheurs ont également trouvé des acteurs de la menace utilisant des botnets comme Mirai et Muhstik contre les systèmes vulnérables pour propager des logiciels malveillants et orchestrer des attaques par déni de service distribué (DDoS).

« La vulnérabilité Log4j qui a été révélée à la fin de l’année peut sans aucun doute être considérée comme un événement majeur dans la communauté de la sécurité. Nous avons été préoccupés par les botnets qui exploiteraient cela depuis que la vulnérabilité a été rendue publique. Nos pots de miel Anglerfish et Apacket ont attrapé deux vagues d’attaques utilisant la vulnérabilité Log4j pour former des botnets, et une analyse rapide d’échantillons a montré qu’ils ont été utilisés pour former respectivement les botnets Muhstik et Mirai, tous deux ciblant les appareils Linux », ont déclaré les chercheurs.

Les systèmes concernés incluent :

Systèmes et services qui utilisent la bibliothèque de journalisation Java, Apache Log4j entre les versions 2.0 et 2.14.1. Cela inclut de nombreuses applications et services écrits en Java.

Atténuation

La Fondation Apache a recommandé à tous les développeurs et utilisateurs de mettre à jour la bibliothèque vers la version 2.15.0 en utilisant les méthodes décrites dans l’avis Apache Log4j Security Vulnerabilities pour éviter que les pirates n’exploitent leurs serveurs.

Si l’application du correctif est impossible, Apache a également fourni certaines étapes de correction dans son avis. Ceux-ci inclus:

• Pour Log4j 2.10 ou supérieur : ajoutez -Dlog4j.formatMsgNoLookups=true comme option de ligne de commande ou ajoutez log4j.formatMsgNoLookups=true au fichier log4j2.component.properties sur le chemin de classe pour empêcher les recherches dans les messages d’événement de journal.
• Pour Log4j 2.7 ou supérieur : spécifiez %m{nolookups} dans la configuration PatternLayout pour empêcher les recherches dans les messages d’événement de journal.
• Envisagez de bloquer le trafic sortant LDAP et RMI vers Internet à partir de serveurs vulnérables.