Microsoft: door de staat gesponsorde hackers maken misbruik van de kwetsbaarheid van Log4j

De kritieke Apache Log4j 2-kwetsbaarheid maakt volgens Microsoft de weg vrij voor door de staat gesponsorde hackers om gegevens te stelen en ransomware-aanvallen uit te voeren. 

Op dinsdag heeft het bedrijf waarschuwde het had hackgroepen van nationale staten uit China, Iran, Noord-Korea en Turkije waargenomen die probeerden misbruik te maken van de Log4j 2-fout. Hun activiteiten omvatten het experimenteren met de bug en het misbruiken van de fout om kwaadaardige payloads te laten vallen en gegevens van slachtoffers te extraheren. 

Volgens Microsoft zou een Iraanse hackgroep, genaamd Phosphorus of Charming Kitten, naar verluidt Log4j 2 hebben uitgebuit om ransomware te verspreiden. Er is waargenomen dat een aparte groep uit China, Hafnium genaamd, de kwetsbaarheid gebruikt om potentiële slachtoffers te helpen. 

"Bij deze aanvallen werden Hafnium-geassocieerde systemen waargenomen met behulp van een DNS-service die doorgaans wordt geassocieerd met het testen van activiteiten voor vingerafdruksystemen", aldus Microsoft. 

De kwetsbaarheid roept alarmbellen op omdat de Log4j 2-software van Apache in de hele internetindustrie wordt gebruikt als een hulpmiddel om wijzigingen in een software- of webtoepassing vast te leggen. Door misbruik te maken van de fout kan een hacker inbreken in een IT-systeem om gegevens te stelen of een kwaadaardig programma uit te voeren. Wat het probleem niet helpt, is dat de fout triviaal is om op te zetten, waardoor het voor iedereen maar al te gemakkelijk wordt om er misbruik van te maken. 

Het rapport van Microsoft onderstreept de noodzaak voor de hele technische industrie om de fout te repareren voordat er chaos ontstaat. Het bedrijf heeft de door de staat gesponsorde hackgroepen uit Noord-Korea of ​​Turkije niet geïdentificeerd. Maar Microsoft voegde eraan toe dat andere cybercriminele groepen, "access brokers" genaamd, zijn gesignaleerd die de Log4j 2-bug misbruiken om voet aan de grond te krijgen in netwerken. 

"Deze toegangsmakelaars verkopen vervolgens toegang tot deze netwerken aan ransomware-as-a-service-filialen", aldus Microsoft. "We hebben waargenomen dat deze groepen misbruik maken van zowel Linux- als Windows-systemen, wat kan leiden tot een toename van de impact van door mensen bediende ransomware op beide besturingssystemen."

Andere cyberbeveiligingsbedrijven, waaronder Mandiant, hebben ook door de staat gesponsorde hackgroepen uit China en Iran gezien die zich op de fout hebben gericht. "We verwachten dat andere overheidsactoren dit ook doen, of zich voorbereiden", zegt Mandiant VP van Intelligence Analysis John Hultquist. "We geloven dat deze actoren snel zullen werken om voet aan de grond te krijgen in wenselijke netwerken voor vervolgactiviteiten, die enige tijd kunnen duren."