Exploit crítico de Apache Log4j demostrado en Minecraft

El fin de semana pasado fue un mal momento para ser administrador de servidores. Surgió una vulnerabilidad crítica en Apache Log4j. ¿El gran problema? Los atacantes tienen la oportunidad de explotar el paquete Java de código abierto que utilizan todo tipo de aplicaciones, desde Twitter hasta iCloud, para ejecutar cualquier código que elija un atacante.

Eso es tan aterrador como suena.

Qué significa Apache Log4j Exploit para usted y para mí

Hablé con el investigador de seguridad cibernética John Hammond de Huntress Labs sobre el exploit y la lucha posterior para mitigar el daño. Hammond recreó el exploit en un servidor de Minecraft para su canal de YouTube y los resultados fueron explosivos.

Tweet

P: ¿Qué es este exploit? ¿Puedes explicar lo que está sucediendo en términos sencillos?

R: Este exploit permite que los malhechores obtengan el control de una computadora con una sola línea de texto. En términos sencillos, un archivo de registro está recuperando una nueva entrada pero está leyendo y ejecutando datos dentro del archivo de registro. Con una entrada diseñada específicamente, una computadora de la víctima se comunicaría y se conectaría a un dispositivo malicioso separado para descargar y ejecutar cualquier acción nefasta que el adversario haya preparado.

P: ¿Qué tan difícil fue replicar este exploit en Minecraft?

R: Esta vulnerabilidad y explotación es trivial de configurar, lo que la convierte en una opción muy atractiva para los malos actores. yo he exhibido un tutorial en video que demuestra cómo se recreó esto en Minecraft, y la "perspectiva del atacante" tarda unos 10 minutos en configurarse si saben lo que están haciendo y lo que necesitan.

P: ¿Quién se ve afectado por esto?

R: En última instancia, todo el mundo se ve afectado por esto de una forma u otra. Existe una probabilidad extremadamente alta, casi segura, de que cada persona interactúe con algún software o tecnología que tenga esta vulnerabilidad escondida en alguna parte. 

Hemos visto evidencia de la vulnerabilidad en cosas como Amazon, Tesla, Steam, incluso Twitter y LinkedIn. Desafortunadamente, veremos el impacto de esta vulnerabilidad durante mucho tiempo, mientras que es posible que algunos software heredados no se mantengan o envíen actualizaciones en estos días.

P: ¿Qué deben hacer las partes afectadas para mantener seguros sus sistemas?

R: Honestamente, las personas deben estar al tanto del software y las aplicaciones que usan, e incluso hacer una simple búsqueda en Google de "[ese-software-name] log4j" y verificar si ese proveedor o proveedor ha compartido algún aviso para notificaciones sobre este nuevo amenaza. 

Esta vulnerabilidad está sacudiendo todo el panorama de Internet y la seguridad. La gente debe descargar las actualizaciones de seguridad más recientes de sus proveedores tan pronto como estén disponibles y permanecer atentos a las aplicaciones que todavía están esperando una actualización. Y, por supuesto, la seguridad aún se reduce a los conceptos básicos básicos que no puede olvidar: ejecute un antivirus sólido, use contraseñas largas y complejas (¡se recomienda encarecidamente un administrador de contraseñas digitales!) y esté especialmente atento a lo que se presenta en frente a usted en su computadora.

¿Te gusta lo que estás leyendo? Te encantará recibirlo en tu bandeja de entrada semanalmente. Regístrese para recibir el boletín de SecurityWatch.

Policías + Agentes de datos = Lagunas legales

Los delincuentes de las películas antiguas siempre conocían el lado bueno y el malo de la ley. Si un oficial de policía amenazaba con derribar su puerta, solo sonreían y decían: “¿Oh, sí? Vuelva con una orden judicial.

En la realidad actual, la policía no necesita molestarse en obtener una orden judicial para sus datos si pueden comprar la información de un corredor de datos. Ahora bien, no somos de los que romantizan el quebrantamiento de la ley, pero tampoco nos gustan los posibles abusos de poder.

Como escribe Rob Pegoraro de PCMag, los intermediarios de datos brindan a las agencias de inteligencia y aplicación de la ley formas de eludir la Cuarta Enmienda al permitir la venta de información recopilada sobre ciudadanos privados. El FBI firmó un contrato con un corredor de datos para "actividades previas a la investigación" en un ejemplo.

Gracias a las enrevesadas políticas de privacidad de las aplicaciones y los términos y condiciones de los corredores de datos, el ciudadano estadounidense promedio probablemente no sepa cómo los datos de ubicación de su teléfono ingresan a una base de datos de las fuerzas del orden. ¿Eso te molesta? Si es así, es hora de tomar el asunto en sus propias manos y detener la recopilación de datos en la fuente. Use las funciones de privacidad de ubicación que ofrecen Apple y Google para mantener su ubicación en secreto de su apps. iOS permite a los usuarios evitar que cualquier aplicación conozca su ubicación, y Android 12 de Google agrega controles similares.

¿Qué más está pasando en el mundo de la seguridad esta semana?