Sytuacja jest niezwykle poważna - odkryto systemowy defekt, który sprawia, że miliony komputerów są praktycznie bezbronne wobec działań cyberprzestępców. Chodzi o podatność Javy, która pozwala atakującemu zmusić dowolną aplikację napisaną w tym niezwykle popularnym języku programowania, do wykonania zadanego polecenia - od instalowania tzw. kryptokoparek, po kradzież poufnych danych. Niemieckie biuro ds. cyberbezpieczeństwa wprowadziło już w kraju alarm czerwony, który określa najwyższy poziom zagrożenia sieciowego. Z kolei CERT Polska w związku z luką Log4j alarmuje: obserwujemy coraz więcej prób ataków oraz wzrost ich zaawansowania.
O skali zagrożenia może świadczyć fakt, że - według Cisco Talos, organizacji zajmującej się bezpieczeństwem informatycznym - luka Log4j jest groźniejsza niż 99,5 proc. innych badanych przez firmę. Eksperci mówią wprost: to prawdopodobnie jeden z najpoważniejszych cyberkryzysów w historii.
Trudne łatanie dziur
Log4j to tzw. biblioteka w języku programowania Java. Biblioteki to z kolei gotowe fragmenty kodu, po które sięgają programiści, by nie pisać ich każdorazowo od początku. To ułatwia pracę i zapewnia pewien poziom standaryzacji. Teraz okazuje się, że ten fundament nieokreślonej ilości programów stworzonych w Javie, jest dziurawy. Podatność na działania z zewnątrz odkryto ponad miesiąc temu, ale dopiero kilka dni temu o zagrożeniu zrobiło się głośno. W międzyczasie opracowywano tzw. łatkę. Niestety - wersja Log4j 2.15.0 również posiada poważną lukę w zabezpieczeniach. I ta jest już wykorzystywana przez hakerów. Firma Sophos wykryła już setki tysięcy prób ataków wykorzystujących tę podatność, m.in. z pomocą kryptominerów, czyli złośliwych programów służących do kopania kryptowalut. Według badaczy cyberprzestępcy będą w najbliższych tygodniach intensyfikowali działania i wykorzystywali lukę m.in. do ataków ransomware. Zagrożone mogą być setki tysięcy firm na całym świecie. Grzegorz Nocoń, inżynier systemowy w firmie Sophos ostrzega, że luka umożliwia cyberprzestępcom zdalne wykonanie kodu, zainstalowanie złośliwego oprogramowania na urządzeniu ofiary, a nawet uzyskanie kontroli nad jej systemem. - Na początku cyberprzestępcy wykorzystywali ją głównie w atakach przeprowadzanych m.in. za pomocą kryptominerów. Obserwowano też próby kradzieży danych z niektórych usług, m.in. kluczy do kont Amazon Web Services. Luka mogła być wykorzystywana nawet przez tygodnie przed jej publicznym ujawnieniem - mówi Nocoń.
Czytaj więcej
Konsekwencje głośnego majowego ataku hakerów na irlandzką służbę zdrowia są dużo poważniejsze, niż się mogło wydawać – wynika z raportu PwC. Cyberprzestępcy są coraz bardziej pozbawieni skrupułów.
Fachowcy radzą, by firmy wzmogły swoją czujność w kontekście cyberbezpieczeństwa i - jeśli są w stanie - zweryfikowały, czy w ich systemach występuje luka Log4j. To jednak skomplikowane zadanie. Podobnie jak "załatanie" luki, bowiem na razie nie ma skutecznego remedium.
Nad Wisłą najgorzej
Polacy zagrożenia ze strony luki Log4j powinni obawiać się szczególnie. Dlaczego? Ponieważ znaleźliśmy się w gronie krajów najbardziej dotkniętych próbami wykorzystania luki Log4j. Pod tym względem plasujemy się na niechlubnym 3. miejscu na świecie.
Zespół analityków Eset na bieżąco rejestruje przypadki mające na celu wykorzystanie błędu w Javie. Ten powszechnie występuje m.in. w usłudze Apple iCloud, usługach Amazon, na platformie Twitter czy w grach, jak np. Minecraft. W Eset podkreślają, że częstotliwość wykrywania nadużyć związanych z luką jest wręcz zdumiewająca. Od momentu jej wykrycia potwierdzono kilkaset tysięcy prób takich incydentów. Najwięcej zarejestrowano dotychczas w Japonii, Stanach Zjednoczonych i właśnie nad Wisłą. Próby ataków dotyczą organizacji i dostawców usług. Specjaliści tłumaczą, że - jeśli atakujący dostanie się za pomocą luki Log4j do sieci lokalnej - może wykorzystać nawet systemy wewnętrzne firmy, które nie są podłączone do internetu. Haker nie potrzebuje fizycznego dostępu, aby uruchomić dowolny kod, który mógłby prowadzić do pełnej kontroli nad dotkniętymi nią systemami i kradzieży poufnych danych. Wykryta luka już uzyskała 10 punktów w skali CVSS (system punktowania podatności w skali od 0-10 wykorzystywany do określenia poziomów ważności wykrytych luk).
Co warto wiedzieć o ESG? Jej znaczenie dla firm i gospodarki.
Analitycy zalecają administratorom systemów natychmiastowe sprawdzenie, czy uruchamiane przez nich aplikacje korzystają z podatnej na ataki biblioteki Log4j i sięganie po łatkę w wersji 2.16.0. W praktyce zdobycie wiedzy, czy firmowe systemy korzystają z tej biblioteki może być niezwykle trudne, a nawet niemożliwe. - To zdecydowanie największa pojedyncza i najbardziej krytyczna luka w zabezpieczeniach w historii - ocenia na łamach "Wired" Amit Yoran, dyrektor Tenable.
Badacze zaobserwowali, że po korzystanie z luki sięgają grupy hakerskie z Chin i Iranu. Check Point odnotował grubo ponad 1,8 mln prób jej wykorzystania (w pewnych momentach dochodziło do ponad 100 ataków na minutę). Fachowcy twierdzą, że łatanie dziur zajmie miesiące, a nawet lata.
