Microsoft: gli hacker sponsorizzati dallo stato stanno sfruttando la vulnerabilità di Log4j

La vulnerabilità critica di Apache Log4j 2 sta aprendo la strada agli hacker sponsorizzati dallo stato per rubare dati e lanciare attacchi ransomware, secondo Microsoft. 

Martedì, la compagnia avvertito aveva osservato gruppi di hacker di stati nazione provenienti da Cina, Iran, Corea del Nord e Turchia che cercavano di sfruttare il difetto di Log4j 2. Le loro attività includono la sperimentazione del bug e l'abuso del difetto per eliminare payload dannosi ed estrarre dati dalle vittime. 

Secondo Microsoft, un gruppo di hacker iraniano, soprannominato Phosphorus o Charming Kitten, avrebbe sfruttato Log4j 2 per diffondere ransomware. Un gruppo separato dalla Cina chiamato Hafnium è stato osservato sfruttare la vulnerabilità per aiutarlo a prendere di mira potenziali vittime. 

"In questi attacchi, i sistemi associati all'afnio sono stati osservati utilizzando un servizio DNS tipicamente associato all'attività di test sui sistemi di impronte digitali", ha affermato Microsoft. 

La vulnerabilità sta sollevando un campanello d'allarme perché il software Log4j 2 di Apache viene utilizzato nel settore di Internet come strumento per registrare le modifiche in un software o in un'applicazione web. Sfruttando il difetto, un hacker può entrare in un sistema IT per rubare dati o eseguire un programma dannoso. A non aiutare il problema è come il difetto sia banale da configurare, rendendo fin troppo facile per chiunque sfruttarlo. 

Il rapporto di Microsoft sottolinea la necessità per l'intero settore tecnologico di correggere il difetto prima che ne derivi il caos. La società non ha identificato i gruppi di hacker sponsorizzati dallo stato dalla Corea del Nord o dalla Turchia. Ma Microsoft ha aggiunto che altri gruppi di criminali informatici, chiamati "broker di accesso", sono stati individuati sfruttare il bug di Log4j 2 per prendere piede nelle reti. 

"Questi broker di accesso vendono quindi l'accesso a queste reti agli affiliati ransomware-as-a-service", ha affermato Microsoft. "Abbiamo osservato questi gruppi che tentano di sfruttare sia i sistemi Linux che Windows, il che potrebbe portare a un aumento dell'impatto del ransomware operato dall'uomo su entrambe queste piattaforme del sistema operativo".

Anche altre società di sicurezza informatica, tra cui Mandiant, hanno individuato gruppi di hacker sponsorizzati dallo stato provenienti da Cina e Iran che prendono di mira il difetto. "Prevediamo che anche altri attori statali lo stiano facendo o si stiano preparando a farlo", ha affermato John Hultquist, vicepresidente dell'analisi dell'intelligence di Mandiant. "Riteniamo che questi attori lavoreranno rapidamente per creare punti d'appoggio in reti desiderabili per attività successive, che potrebbero durare per qualche tempo".