Apache Log4j já está a fazer vítimas

A Check Point Research detetou inúmeros ataques que partiam da exploração da vulnerabilidade Log4j, também conhecido como Log4Shell. Os investigadores da Check Point avisam que, por norma, estes ataques são uma forma de os cibercriminosos testarem as potencialidades da vulnerabilidade para implementar campanhas de maior escala.

Apesar de a maioria dos ataques detetados terem aproveitado esta vulnerabilidade para mineração de criptomoeda em sistemas Linux, a equipa de investigação da Check Point identificou um ciberataque que envolve um malware NET-based detetado pela primeira vez. São cinco vítimas de vários setores, entre os quais, finanças, banking e indútrias de software, localizadas em Israel, Estados Unidos, Coreia do Sul, Suíça e Chipre. O servidor que contem múltiplos ficheiros maliciosos está localizado nos Estados Unidos.

Este tipo de ataques (orientados para a mineração de criptomoeda, menos destrutivos) representam, as fases iniciais de ataques em larga escala (como ataques de ransomware). É como se se tratasse, alerta a equipa de investigação da Check Point, de um teste real da vulnerabilidade e das suas potencialidades para imputar danos de maior amplitude. Simplificando, assim que qualquer tipo de malware é injetado, é apenas uma questão de tempo para um ataque maior. O que num momento é um ataque cujo objetivo é mineração de criptomoeda para obter lucros às custas das vítimas facilmente se torna num ataque de ransomware ou outro tipo de ataques mais significativos.

O ataque explora a vulnerabilidade presente no Log4j para fazer download de um malware Trojan, que ativa, por sua vez, o download de um ficheiro .exe, que instala um criptominer. Uma vez instalado, começa a utilizar os recursos da vítima para extrair criptomoeda a favor lucrativo dos atacantes – tudo isto sem que a vítima saiba que a segurança do seu sistema foi comprometida. Para evitar ser detetado, todas as funções e nomes de ficheiros relevantes são ofuscados, impedindo que mecanismos de análise estática identifiquem a ameaça.

Até agora, a proteção emitida pela Check Point Software impediu mais de 1,8 milhões de tentativas de alocar a vulnerabilidade. 46% destas foram perpetradas por grupos de cibercrime conhecidos. Neste momento, 46% das redes corporativas de todo o mundo sofreram uma tentativa de exploração maliciosa e, em Portugal, 49% das redes corporativas já sofreram uma tentativa de exploração da vulnerabilidade. Os últimos dados da Check Point Software indicam que 50.7% das redes corporativas na Europa foram impactadas.