'Log4j' kerstcadeau voor cybercriminelen

Gepubliceerd op 14 december 2021 om 15:00

Diverse bedrijven grijpen hard in en zetten uit voorzorg webapplicaties uit. Verschillende gemeenten hebben dat nu al gedaan. Ook ABN Amro bevestigt tegenover de krant een deel van zijn systemen te hebben uitgeschakeld. IT-beveiligers zeggen bij de NOS dat het slechts een kwestie van dagen zal zijn voor er ransomware-aanvallen plaatsvinden die veel systemen tegelijk kunnen grijpen.

Wat is het probleem?

Een groot beveiligingsprobleem in een vrij onbekend softwarepakket met de naam 'Log4j' leidt tot veel hoofdbrekens bij beveiligingsexperts. Het softwarepakket is alomtegenwoordig, waardoor veel bedrijven - en daarmee ook hun klanten - kwetsbaar zijn. Maar de precieze impact zal pas later duidelijk worden.

De angst is dat bedrijven slachtoffer worden van ransomware, of dat data van klanten gestolen zullen worden. Het is verleidelijk om te denken dat dat misschien meevalt, nu na vier dagen nog geen gevallen bekend zijn van gehackte bedrijven.

Maar die kans op een meevaller lijkt klein. "Nee, ik denk niet dat dit met een sisser gaat aflopen", zegt beveiligingsexpert Frank Groenewegen van Deloitte. "Aanvallers zijn momenteel druk bezig om te bedenken hoe ze het probleem het best kunnen misbruiken."

Dat denkt ook beveiligingsonderzoeker John Fokker van McAfee, wiens weekend net als dat van veel collega's in het teken stond van het nieuws over het beveiligingsprobleem. "Nu zijn aanvallers nog op zoek naar potentiële slachtoffers. Over een paar dagen of weken zul je de eerste ransomware-slachtoffers zien."

Waarom 'Log4j' kwetsbaarheid zo gevaarlijk is 

Het beveiligingsprobleem zit in een softwarepakket dat massaal blijkt te worden gebruikt en is bedoeld om zogenoemde logboeken bij te houden. Veel softwarepakketten doen dat: op die manier kan de activiteit van een computersysteem worden bijgehouden en kunnen fouten worden ontdekt en zelfs 'hack aanvallen' worden geregistreerd. In dit geval kan een aanvaller eigen programmeercode uitvoeren door een fout in het softwarepakket.

Veel andere softwarepakketten blijken 'Log4j' te gebruiken om hun logboeken bij te houden. Dus nu er een ernstig lek in het pakket is ontdekt, zijn in één keer ook ontzettend veel bedrijven in potentie kwetsbaar. Wel verschilt de precieze impact en de manier waarop het lek kan worden misbruikt per bedrijf.

Ook grote bedrijven als Apple, Amazon en Tesla zijn nu dus ook kwetsbaar voor het vrijdag ontdekte probleem. En ook grote softwarepakketten, die op hun beurt weer door ontzettend veel bedrijven en organisaties worden gebruikt, hebben het probleem aan boord, soms ook zonder dat ze het weten.

"Ik denk dat vrij weinig mensen doorhebben hoe diep dit gaat", zegt onderzoeker Cas van Cooten, ook van Deloitte. Hij slaagde erin Apple te 'hacken' door de naam van zijn iPhone te veranderen. Door programmeercode in zijn telefoonnaam te zetten, leidde hij een Apple-server om de tuin en werd er een onschuldig signaaltje verstuurd naar een server die Van Cooten uitkoos. Een kwaadwillende zou ernstigere zaken voor elkaar kunnen krijgen.

'Log4j' kerstcadeau cybercriminelen

Het probleem zit hem in een logsysteem van web- en applicatieservers. Aanvallers kunnen via dit probleem ongewenste opdrachten uitvoeren op de systemen van organisaties. Ook kunnen ze met een simpele opdracht zien of systemen kwetsbaar zijn om vervolgens een aanval uit te voeren. De kerstvakantie is traditiegetrouw een periode dat aanvallers toeslaan, omdat er dan minder personeel beschikbaar is. Met deze timing in het achterhoofd, verwachten deskundigen grote problemen op zeer korte termijn.

Nu al wordt malware uitgezaaid die ervoor zorgt dat rekenkracht wordt ingepikt om cryptovaluta te minen. Dat is vooral vervelend, maar legt systemen meestal niet plat. De grotere angst is voor ransomware die via dit gat naar binnensluipt. 

Uniek of niet?

Dat er in één keer zo veel bedrijven en computersystemen kwetsbaar zijn voor één probleem, is vrij uniek. Tegelijkertijd waren er in het verleden ook beveiligingsproblemen die sneller tot problemen leidden. Zo werden deze zomer in één keer veel bedrijven getroffen door ransomware, nadat een beveiligingsprobleem in het programma Kaseya was gevonden. Dat wordt veel gebruikt door ict-beheerders om op afstand computers te beheren.

Dat was een enorm krachtig lek: als een systeem kwetsbaar was, kon je als aanvaller meteen op zogenoemd beheerdersniveau ingrijpen en bijvoorbeeld ransomware uitvoeren. Dat is in dit geval niet zo.

"Het bijhouden van logboeken gebeurt op een lager niveau", legt Groenewegen uit. Daardoor kan een aanvaller in eerste instantie minder, en moet hij zoeken naar manieren om meer bevoegdheden te krijgen.

Maar iedereen in het 'cyberwereldje' is het erover eens: het is een kwestie van tijd tot mensen dat lukt. Daarom moeten bedrijven nu snel aan de slag, stelt ook het Nationaal Cyber Security Centrum (NCSC) van de Nederlandse overheid. Fokker: "Hoe langer je wacht, hoe groter de kans dat iemand erin slaagt om dit te misbruiken."

Vaisha Bernard, mede-oprichter van beveiligingsbedrijf EYE, denkt dat de aanvallers op een bepaald moment in één keer kunnen toeslaan. "Bijvoorbeeld een paar dagen voor Kerst." Dan is er minder personeel aanwezig en veroorzaakt een aanval met bijvoorbeeld ransomware veel meer schade. Het overkwam twee jaar geleden nog de Universiteit Maastricht.

Een gevaar daarbij is dat bedrijven over het hoofd zien dat ze 'Log4j' ergens gebruiken, zonder dat ze het weten. "Het is alsof er ergens een ingrediënt van een fabrikant dat in heel veel producten zit opeens niet in orde blijkt te zijn", zegt Groenewegen.

Groot verschil met de voedselindustrie is dat daarbij beter minutieus wordt bijgehouden welk ingrediënt in welk product zit. Hoewel het NCSC samen met onderzoekers in allerijl een lijst met kwetsbare producten heeft opgesteld, is dat volledige overzicht er voor software niet.

Ook een probleem is dat veel software zoals deze - die door ontzettend veel bedrijven wordt gebruikt, van overheden tot tech-giganten - door vrijwilligers in hun vrije tijd wordt onderhouden. Groenewegen: "Miljoenenbedrijven zijn dan afhankelijk van het werk van een paar vrijwilligers. Dat is toch ook bizar?"

Bron: @xkcdComic, github.com, @chvancooten, @gemhofvantwente, cmweb.nl, nos.nl

‘Apache Log4j’ gerelateerde artikelen 》

 

Actuele aanvallen overzicht per dag 》

Ernstige kwetsbaarheden 》

 

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.

Meer nieuws

Cybercrime nieuwsbrief 153 (week 14-2021)

Onze digitale veiligheid en digitale autonomie staan onder druk en daarmee ons maatschappelijk en economisch welzijn, het verscherpt toezicht op Waternet zal duren tot het moment dat er weer sprake is van vertrouwen en 'Ransomware' is volwassen geworden en is 32 jaar. Dit en meer lees je in nieuwsbrief 153. 

Lees meer »

Digitale fraude, oplichting meldingen week 14-2021

Het melden van 'digitale oplichting' pogingen is belangrijk, door het melden kunnen we andere potentiële slachtoffers behoeden voor het te laat is. Heb je een phishing mail, smishing bericht of werd je gebeld en vertrouw je het niet? Laat het ons, of onze collega's van Opgelicht?!, Radar, Kassa, of Fraudehelpdesk dan weten, want Samen bestrijden we cybercrime / digitale fraude. Ben je slachtoffer geworden van oplichting doe dan 'altijd' aangifte bij de politie.

Lees meer »

Islamitische Staat (IS) digitaliseert

De islamistische cybersecurity groep 'Electronic Horizons Foundation', dat een digitale tak van IS is, lanceert een eigen platform met cloud services en chat mogelijkheden voor leden. Via dit platform zouden volgers makkelijker online propaganda kunnen verspreiden en bovendien makkelijker de interne rangen kunnen bepalen.

Lees meer »

'Ransomware' is volwassen geworden en is 32 jaar

Als u de wereld van cybersecurity (informatiebeveiliging) een beetje volgt, hebt u de afgelopen jaren vast een hoop over ransomware (gijzelsoftware) gehoord. U kunt zelfs de pech hebben gehad dat u slachtoffer bent geweest van een ransomware aanval. Het is waarschijnlijk niet overdreven om ransomware als de gevaarlijkste malware van onze tijd te betitelen.

Lees meer »

“Samenwerking met publieke en private partners zijn vaak effectiever dan alleen opsporing en vervolging”

Veel Nederlandse organisaties hebben volgens de Cyber Security Raad (CSR) hun digitale beveiliging niet voldoende op orde. In een adviesrapport stelt de CSR onder meer dat dit tot grote aantallen hacks kan leiden, waardoor de politie overbelast zou kunnen raken. De oplossing ligt volgens de CSR onder meer in Ă©Ă©n landelijke cyberweerbaarheidsstrategie. En extra geld.

Lees meer »

Cyberaanval op Europese Unie instanties

Verschillende politieke instanties van de Europese Unie, waaronder de Europese Commissie, waren vorige week het doelwit van een ‘aanzienlijke cyberaanval’. Een woordvoerder van het dagelijkse bestuur van de EU bevestigt dat de zaak momenteel wordt onderzocht. Het onderzoek bevindt zich in de beginfase, waardoor het te vroeg is om iets over de aanval te zeggen.

Lees meer »

Ransomware weekoverzicht 13-2021

CompuCom lijdt miljoenenverlies door recente ransomware-aanval, Italiaanse heren kleding merk Boggi Milano getroffen door ransomware en ransomware aanvallen drijven de kosten van cyberverzekeringen omhoog. Hier het overzicht van de nieuwste ransomware vormen en het nieuws van dag tot dag.

Lees meer »