Het recente beveiligingslek in software van Apache heeft al bij 47 procent van de bedrijfsnetwerken in Nederland geleid tot een poging tot misbruik. Dat meldt Check Point Research (pdf) op basis van eigen onderzoek. Het bedrijf waarschuwt dat 46 procent van de pogingen gedaan wordt door bekende kwaadwillende groepen.
Hackers in dienst van de overheden van China, Iran, Noord Korea en Turkije zijn aan de slag gegaan met de Log4Shell-kwetsbaarheid in Java-logtool Log4j. De staatshackers misbruiken de bug om malware te verdelen. De Iraanse groep Phosphorus zou bijvoorbeeld ransomware verspreiden met de hulp van Log4Shell en het Chinese Hafnium, gekend van het Microsoft Exchange-hack, valt actief gevirtualiseerde infrastructuur aan via de nieuwe bug.
Cryptomining en ransomware
Het beveiligingslek is bekend onder de naam Log4j en stelt hackers in staat om binnen te dringen in netwerken en daar software te installeren. In een aantal gevallen is dat inmiddels gelukt en wordt computercapaciteit misbruikt om cryptomunten te minen. Dat is nog redelijk onschuldig, maar de criminelen kunnen met hetzelfde gemak ransomware installeren om hun slachtoffer af te persen. Het is een soort ‘live trial’ van de kwetsbaarheid en het potentieel van de schade die bij de slachtoffers kan worden aangericht, om later een groter offensief uit te voeren, aldus Check Point Research.
Check Point Research heeft inmiddels talloze aanvallen gedetecteerd die gebruikmaken van de Log4j-kwetsbaarheid en kan een gedetailleerd voorbeeld tonen van hoe een echte aanval daadwerkelijk werkt. Terwijl de meeste miners deze kwetsbaarheid gebruikten voor op Linux gebaseerde cryptomining, hebben Check Point-onderzoekers nu een cyberaanval gedetecteerd waarbij een niet eerder gevonden op NET gebaseerde malware werd gebruikt. Deze specifieke aanval was gericht op vijf slachtoffers in de financiële, bank- en software-industrie in Israël, de Verenigde Staten, Zuid-Korea, Zwitserland en Cyprus. De server die de schadelijke bestanden bevat, bevindt zich in de VS en host meerdere schadelijke bestanden.
De aanval maakt gebruik van de Log4j-kwetsbaarheid om een trojan-malware te downloaden, die een download van een .exe-bestand activeert, dat op zijn beurt een crypto-miner installeert. Zodra de crypto-miner is geïnstalleerd, begint deze de bronnen van het slachtoffer te gebruiken om cryptocurrency te delven waarmee de aanvallers geld verdienen. Het slachtoffer merkt hooguit dat zijn computersysteem trager wordt. Als onderdeel van de ontwijkingstechnieken van de malware worden alle relevante functies en bestandsnamen versluierd om detectie door statische analysemechanismen te voorkomen.
Focus nu nog op verkenning
Over het algemeen ligt de focus van aanvallers nog op scans. Ze zijn naarstig opzoek naar kwetsbare systemen om later aanvallen uit te voeren op vette vissen. Naarmate ze de kwetsbaarheid meer in kaart brengen, volgen operationele aanvallen. Microsoft ziet bijvoorbeeld hoe aanvallers 'Cobalt Strike Beacons' op systemen plaatsen om zo dieper binnen te dringen in netwerken van een doelwit. Verder ontpopt cryptominen zich tot een populair gebruik van Log4Shell.
Het beveiligingslek wordt intussen ook schadelijkere doeleinden misbruikt. Volgens Zahier Madhar van Check Point Software Nederland, scannen aanvallers actief naar potentieel kwetsbare doelen. Daarbij kunnen ze gebruik maken van nieuwe scantools voor deze kwetsbaarheid. Woensdag ontdekte het bedrijf dat een Iraanse hackersgroep de Log4j-kwetsbaarheid probeerde te misbruiken tegen zeven doelen in Israël. Deze aanval kon worden geblokkeerd.
Het begin van de impact van Log4Shell
Madhar: “We zullen aanvallen met betrekking tot Log4j blijven onderzoeken. Onze rapporten van de afgelopen 48 uur bewijzen dat zowel criminele hackgroepen als nationale actoren betrokken zijn bij het onderzoeken van deze kwetsbaarheid en we moeten allemaal aannemen dat de komende dagen meer van dergelijke actoren zullen worden onthuld.”
Het wordt alsmaar duidelijker dat we nog maar aan het begin staan van de impact van Log4Shell. Staatsgesponsorde hackers kunnen met hun grote middelen een immense schade aanrichten. Bovendien komen de cyberwapens die ze ontwikkelen na verloop van tijd al te vaak in handen van andere actoren.
Bron: anoniem, microsoft.com, checkpoint.com, itdaily.be, beveiligingnieuws.nl
Log4j gerelateerde artikelen 》
Bekijk alle vormen en begrippen 》
Actuele aanvallen overzicht per dag 》
Ernstige kwetsbaarheden 》Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.
Meer nieuws
Cyberterrorisme deel 1: Waarom terroristen zich tot cyberspace wenden
Onze wereld verandert elke dag. Technologie gaat elke seconde vooruit. Helaas evolueren terroristen in hetzelfde tempo of zelfs sneller. Met een grotere afhankelijkheid van internet en andere technologie worden we kwetsbaarder voor cybercriminaliteit en de opkomende dreiging van cyberterrorisme.
De achterkant van TikTok
De video app TikTok is de rage van het moment. Het biedt gebruikers de mogelijkheid om video’s, waarin ze zelf zingen, playbacken en/of dansen op te nemen, te bewerken met effecten en met andere gebruikers te delen. Het oogt als een onschuldige app en is enorm populair onder kinderen en jongeren. In korte tijd heeft TikTok al meer dan 100 miljoen gebruikers aan zich weten te binden. Er zijn echter ook diverse geluiden en onderzoeken die aangeven dat de video app niet zo onschuldig is als het lijkt; gebruikers zouden een substantieel privacy risico lopen en de beveiliging van de app zou onvoldoende zijn. Een kort overzicht van wat er tot op heden over TikTok bekend is.
"Het vuur in Iran, ontstond als gevolg van een cyberaanval"
Afgelopen zaterdag een explosie en een brand in een energiecentrale, donderdag brand in een complex waar kernenergie wordt opgewekt, dinsdag een explosie bij een medische kliniek en een week eerder op vrijdag bij een militaire basis én een energiecentrale. Al deze incidenten in Iran gebeurden in acht dagen tijd.
Met een bron van informatie na het kraken van de crypto communicatie in het onderzoek '26Lemont', zijn tal van ontvoeringen en lugubere martelingen voorkomen
Op 22 juni 2020 hield de Landelijke Eenheid zes mannen aan die worden verdacht van het voorbereiden van ontvoeringen en gijzelingen in het criminele milieu. In een loods in het Brabantse Wouwse Plantage trof de politie zeven zeecontainers aan. Zes daarvan waren ingericht als cel waarin mensen vastgebonden konden worden en één container was bedoeld als martelkamer. Ook trof de politie een tweede loods aan in Rotterdam, die vermoedelijk bestemd was als uitvalbasis van de criminelen.
Computer chipfabrieken slachtoffer van cyberaanval
X-Fab, een computerchipbedrijf uit Tessenderlo, heeft zijn fabrieken stilgelegd na een cyberaanval. Alle IT-systemen werden uit de lucht gehaald.
Jackpotting aanval in Belgie op pinautomaten
In Belgie hebben cybercriminelen geprobeerd om digitale plofkraken te plegen op geldautomaten van de bank Argenta. Bij zo'n digitale kraak breken hackers in in het besturingssyteem van een geldautomaat, zodat die bankbiljetten uitgeworpen worden.
Cybercrime nieuwsbrief 113 (week 27-2020)
Datalek nieuws en overzicht week 27-2020
Bij een 'datalek' gaat het om ongeoorloofde of onbedoelde toegang tot persoonsgegevens bij een organisatie. Of om vernietiging, verlies, wijziging of vrijkomen van persoonsgegevens. Onder een datalek valt dus niet alleen het vrijkomen (lekken) van gegevens, maar ook onrechtmatige verwerking van gegevens en verlies van (toegang tot) persoonsgegevens.
Oplichting / Cybercrime overzicht week 27-2020
Wat is phishing »
Nederlandse dealers versturen maandelijks naar schatting 9000 pakketjes met coke, speed, xtc en crystal meth
Ecstasy, cocaïne, speed en amfetamine. Uit Nederland afkomstige post naar het buitenland bevat steeds vaker drugs. Per jaar zou het om zo’n honderdduizend zendingen gaan. Sommige landen overwegen al een verbod op postpakket vanuit Nederland. Politie en douane in Duitsland, Frankrijk, Groot-Brittannië, Australië en diverse Aziatische landen hebben genoeg van de Nederlandse drugspakketten.
Gekraakt, "Het is alsof we bij de criminelen aan de vergadertafel zaten"
Meer dan 20 miljoen chatberichten van criminelen zijn sinds 1 april live meegelezen door de Nederlandse politie. ‘Het is alsof we bij de criminelen aan de vergadertafel zaten’, zegt Jannine van den Berg, politiechef van de Landelijke Eenheid.
Bij zeker 25 Nederlandse organisaties hebben hackers toegang
Het lek in Citrix, dat een half jaar geleden tot een crisis leidde bij de Rijksoverheid, wordt actief misbruikt. Terwijl de aandacht voor de kwetsbaarheid is weggeëbd, blijken criminele hackers en spionagegroepen bij zeker 25 Nederlandse organisaties toegang te hebben tot het interne netwerk.