Хакеры атаковали тысячи компаний из России с помощью Log4Shell
Эксперты компаний, работающих в области информбезопасности, заявили о рисках для российских игроков из различных отраслей из-за уязвимости Log4Shell.
Речь идет об уязвимости в библиотеке Log4j — инструменте, который используется практически в каждом приложении Java. Log4Shell позволяет удаленно управлять серверами, давая злоумышленнику возможность импортировать на них вредоносное программное обеспечение. В четверг, 9 декабря, организация Apache Foundation (способствует развитию проектов программного обеспечения Apache) выпустила критическое обновление для устранения Log4Shell. Однако пока обновление не загружено, уязвимостью могут пользоваться злоумышленники. В частности, компания LunaSec, которая развивает софт для защиты информации, сообщала в своем блоге, что среди пострадавших — облачные сервисы Apple и Steam, а также приложение Minecraft.
По словам директора центра информационной безопасности «Инфосистемы Джет» Андрея Янкина, уже были случаи, когда злоумышленники пытались воспользоваться Log4Shell для взлома российских компаний, в том числе успешные. Но детали он не назвал. Компания «Инфосистемы Джет» зафиксировала случаи распространения шифровальщиков с использованием данной уязвимости. «Сейчас все сообщество черных и белых хакеров только тем и занимается, что эксплуатирует эту уязвимость, буквально по одному разу в минуту. То есть речь идет о попытках взлома сотен и тысяч российских компаний», — указал он.
«На данный момент мы зарегистрировали больше 4,5 тыс. случаев, когда злоумышленники пытались эксплуатировать указанную уязвимость в российских компаниях», — сообщил РБК эксперт по кибербезопасности «Лаборатории Касперского» Борис Ларин.
Случаи успешной эксплуатации уязвимости в российских организациях уже появились, размер ущерба посчитать и сообщить невозможно, говорит директор Центра Solar appScreener компании «Ростелеком-Солар» Даниил Чернов.
Кто под угрозой и как бороться
По словам директора центра ИТ-инфраструктурных решений «Инфосистемы Джет» Ильи Воронина, открытая библиотека Log4j используется при разработке многих программных продуктов и является очень популярной, в том числе в российских компаниях. Последние могли использовать ее при разработке своих программных продуктов и сервисов, если они писались на платформе Java. Кроме того, компании зачастую покупают программы у внешних поставщиков, которые тоже могли использовать указанную платформу и открытую библиотеку. О выявленной уязвимости в своих продуктах заявили Oracle, Red Hat, Citrix, Dell, Nutanix, Pure Storage, VERITAS, VMware и др., говорят эксперты «Инфосистемы Джет». Соответственно, в зоне риска оказались компании, которые используют и их продукты.
«Теперь компаниям нужно обновить версию библиотеки в своих собственных продуктах — в этом случае им понятно, где ее искать. Второй шаг сложнее — им необходимо выявить все прикладные решения от внешних поставщиков, которые содержат в себе код с уязвимостью, и тоже обновить их. А эта задача по масштабам сравнима с подводной частью айсберга», — рассказал Воронин. Например, эта библиотека могла использоваться в приложениях дистанционного банковского обслуживания, в интернет-магазинах, при разработке корпоративных порталов или любой форме обратной связи на сайтах компаний и др.
По словам Андрея Янкина, сейчас уязвимость Log4Shell используется для массового взлома через вирусы-шифровальщики, злоумышленники закрепляются в инфраструктуре, чтобы дальше монетизировать полученный доступ. «Потом месяцами мы будем наблюдать объявления о продаже доступов к инфраструктуре компаний, через которые можно красть деньги, распространять шифровальщики, майнить криптовалюту», — рассуждает Янкин. По его словам, сейчас компаниям нужно быстро «залатать дыры», но проблема заключается в том, что не все могут быстро найти все программы, в которых содержится уязвимость. «Инфосистемы Джет» создали специальный раздел у себя на сайте, на котором выкладывают информацию об уязвимости и способах выявления содержащих ее компонентов и устранения проблемы.
Уязвимость получила наивысший уровень оценки критичности, потому что сочетает распространенность в совокупности с простотой эксплуатации, подчеркнул ведущий специалист департамента анализа защищенности Digital Security Вадим Шелест. Ситуацию существенно осложняет факт того, что эксплоит (программа или код, который использует недостатки в системе безопасности конкретного приложения для заражения устройств) был опубликован в пятницу вечером, при отсутствии обновления. Таким образом киберпреступники разного уровня квалификации получили существенное преимущество по времени и принялись сканировать сеть на предмет уязвимых серверов, рассказал Шелест.
Уязвимость критическая, и ее используют многие веб-приложения на Java, соответственно, масштаб угрозы очень велик, отметил руководитель лаборатории компьютерной криминалистики Group-IB Олег Скулкин. По его словам, чтобы снизить риски, организациям, во-первых, следует определить, есть ли у них публично доступные веб-приложения, использующие уязвимую библиотеку. Если такие приложения будут выявлены, необходимо незамедлительно обновить их, а также проверить веб-приложения на наличие следов компрометации.
«В России подобные инциденты не выносятся из компаний на общее обозрение, поэтому сложно сказать, сколько реальных пострадавших и каков ущерб, — говорит руководитель департамента аудита информационной безопасности Infosecurity a Softline Company Сергей Ненахов. — Другие просто пока еще не знают, что их взломали. Разработчик данной библиотеки оперативно выпустил обновление, так что все, что нужно сделать владельцам уязвимых систем, — это просто обновить библиотеку log4j до последней версии».