微软安全部门正在调查可能影响数亿台设备的 Log4Shell 漏洞利用

微软安全部门正在调查可能影响数亿台设备的 Log4Shell 漏洞利用
上周末,微软证实对 Apache Log4j 漏洞的持续利用正在扩展到组织中。该漏洞被称为 Log4Shell,最初仅针对加密挖掘操作。然而,微软表示,它现在已经发展到还针对数据盗窃和凭证盗窃。

据该公司称,其网络安全团队发现了针对上周在 Apache Log4j 中发现的远程代码执行 (RCE) 漏洞的威胁。Log4Shell 被评为开源日志库中的一个严重缺陷。由于 Log4j 在云服务中很常见,因此此漏洞利用的危险性很高。

事实上,美国国土安全部的网络安全和基础设施安全局 (CISA) 表示,数以亿计的设备处于危险之中。现在,该漏洞正在演变以影响更广泛的运营,组织面临着数据提取、凭据盗窃和其他攻击的风险。

“这个漏洞是我在整个职业生涯中见过的最严重的漏洞之一,如果不是最严重的,” CISA 主管 Jen Easterly 告诉 CNN。  “我们预计该漏洞将被老练的行为者广泛利用,我们有时间采取必要措施来减少损害的可能性。”

在上周六的博客文章中,Microsoft Security 表示攻击正在升级,超出了针对加密挖掘的范围:

该公司表示:“微软观察到的活动包括安装硬币矿工、Cobalt Strike 以实现凭证盗窃和横向移动,以及从受损系统中窃取数据。”

热门平台

使 Log4Shell(跟踪为CVE-2021-44228)利用变得如此危险的一个方面是 Log4j 的流行。Java 库平台记录应用程序中的错误消息,并被世界上最大的云供应商使用。Microsoft Azure、亚马逊网络服务、谷歌云、甲骨文、思科、IBM、VMware、RedHat 等数十家公司都在使用该平台。

Log4j 软件 2.0 至 2.14.1 版本存在允许攻击者进行远程执行攻击的漏洞。如果成功,黑客就会让威胁行为者控制设备。Apache 软件基金会已经发布了 2.15.0 版来修补这个缺陷。但是,与往常一样,补丁要求用户应用修复程序。

此外,作为平台客户的最终用户,例如 Microsoft Azure 客户。这条链需要时间,而且总会有一些人出于某种原因根本不更新。

微软的回应

微软警告组织中的安全团队不应只专注于防止使用漏洞。该公司表示可能为时已晚,因此客户应该调查漏洞是否已经存在。

“我们鼓励防御者寻找后利用的迹象,而不是完全依赖预防,” Microsoft Security 在其帖子中指出。“通过基于行为的检测来检测观察到的后期开发活动,例如硬币开采、横向移动和 Cobalt Strike。”

据微软安全响应中心 (MSRC) 称,该公司正在调查该漏洞如何影响其自己的产品。“如果我们发现任何客户影响,我们将通知受影响的一方,” 微软的另一篇帖子说。

解决方法

在安装补丁之前,可能有一种方法可以绕过该漏洞。具体来说,网络安全软件公司 Cyber​​season 开发了一种似乎可以关闭该缺陷的工具。一旦该工具到位,Log4Shell 漏洞利用将不再起作用。Cyber​​season 的联合创始人 Yonatan Striem-Amit 称该工具是针对漏洞的“疫苗”。

Cyber​​season 已免费提供该工具。尽管如此,该公司还是敦促用户最终更新他们的 Log4j 软件,因为这不是永久性的修复。

“这个想法并不是说这是一个长期的修复解决方案,”他警告说。“我们的想法是,您现在就可以为自己争取时间并应用最佳实践——修补您的软件、部署新版本,以及良好 IT 卫生所需的所有其他事情。”

正文完