'Log4j' kerstcadeau voor cybercriminelen

Gepubliceerd op 14 december 2021 om 15:00

Diverse bedrijven grijpen hard in en zetten uit voorzorg webapplicaties uit. Verschillende gemeenten hebben dat nu al gedaan. Ook ABN Amro bevestigt tegenover de krant een deel van zijn systemen te hebben uitgeschakeld. IT-beveiligers zeggen bij de NOS dat het slechts een kwestie van dagen zal zijn voor er ransomware-aanvallen plaatsvinden die veel systemen tegelijk kunnen grijpen.

Wat is het probleem?

Een groot beveiligingsprobleem in een vrij onbekend softwarepakket met de naam 'Log4j' leidt tot veel hoofdbrekens bij beveiligingsexperts. Het softwarepakket is alomtegenwoordig, waardoor veel bedrijven - en daarmee ook hun klanten - kwetsbaar zijn. Maar de precieze impact zal pas later duidelijk worden.

De angst is dat bedrijven slachtoffer worden van ransomware, of dat data van klanten gestolen zullen worden. Het is verleidelijk om te denken dat dat misschien meevalt, nu na vier dagen nog geen gevallen bekend zijn van gehackte bedrijven.

Maar die kans op een meevaller lijkt klein. "Nee, ik denk niet dat dit met een sisser gaat aflopen", zegt beveiligingsexpert Frank Groenewegen van Deloitte. "Aanvallers zijn momenteel druk bezig om te bedenken hoe ze het probleem het best kunnen misbruiken."

Dat denkt ook beveiligingsonderzoeker John Fokker van McAfee, wiens weekend net als dat van veel collega's in het teken stond van het nieuws over het beveiligingsprobleem. "Nu zijn aanvallers nog op zoek naar potentiële slachtoffers. Over een paar dagen of weken zul je de eerste ransomware-slachtoffers zien."

Waarom 'Log4j' kwetsbaarheid zo gevaarlijk is 

Het beveiligingsprobleem zit in een softwarepakket dat massaal blijkt te worden gebruikt en is bedoeld om zogenoemde logboeken bij te houden. Veel softwarepakketten doen dat: op die manier kan de activiteit van een computersysteem worden bijgehouden en kunnen fouten worden ontdekt en zelfs 'hack aanvallen' worden geregistreerd. In dit geval kan een aanvaller eigen programmeercode uitvoeren door een fout in het softwarepakket.

Veel andere softwarepakketten blijken 'Log4j' te gebruiken om hun logboeken bij te houden. Dus nu er een ernstig lek in het pakket is ontdekt, zijn in één keer ook ontzettend veel bedrijven in potentie kwetsbaar. Wel verschilt de precieze impact en de manier waarop het lek kan worden misbruikt per bedrijf.

Ook grote bedrijven als Apple, Amazon en Tesla zijn nu dus ook kwetsbaar voor het vrijdag ontdekte probleem. En ook grote softwarepakketten, die op hun beurt weer door ontzettend veel bedrijven en organisaties worden gebruikt, hebben het probleem aan boord, soms ook zonder dat ze het weten.

"Ik denk dat vrij weinig mensen doorhebben hoe diep dit gaat", zegt onderzoeker Cas van Cooten, ook van Deloitte. Hij slaagde erin Apple te 'hacken' door de naam van zijn iPhone te veranderen. Door programmeercode in zijn telefoonnaam te zetten, leidde hij een Apple-server om de tuin en werd er een onschuldig signaaltje verstuurd naar een server die Van Cooten uitkoos. Een kwaadwillende zou ernstigere zaken voor elkaar kunnen krijgen.

'Log4j' kerstcadeau cybercriminelen

Het probleem zit hem in een logsysteem van web- en applicatieservers. Aanvallers kunnen via dit probleem ongewenste opdrachten uitvoeren op de systemen van organisaties. Ook kunnen ze met een simpele opdracht zien of systemen kwetsbaar zijn om vervolgens een aanval uit te voeren. De kerstvakantie is traditiegetrouw een periode dat aanvallers toeslaan, omdat er dan minder personeel beschikbaar is. Met deze timing in het achterhoofd, verwachten deskundigen grote problemen op zeer korte termijn.

Nu al wordt malware uitgezaaid die ervoor zorgt dat rekenkracht wordt ingepikt om cryptovaluta te minen. Dat is vooral vervelend, maar legt systemen meestal niet plat. De grotere angst is voor ransomware die via dit gat naar binnensluipt. 

Uniek of niet?

Dat er in één keer zo veel bedrijven en computersystemen kwetsbaar zijn voor één probleem, is vrij uniek. Tegelijkertijd waren er in het verleden ook beveiligingsproblemen die sneller tot problemen leidden. Zo werden deze zomer in één keer veel bedrijven getroffen door ransomware, nadat een beveiligingsprobleem in het programma Kaseya was gevonden. Dat wordt veel gebruikt door ict-beheerders om op afstand computers te beheren.

Dat was een enorm krachtig lek: als een systeem kwetsbaar was, kon je als aanvaller meteen op zogenoemd beheerdersniveau ingrijpen en bijvoorbeeld ransomware uitvoeren. Dat is in dit geval niet zo.

"Het bijhouden van logboeken gebeurt op een lager niveau", legt Groenewegen uit. Daardoor kan een aanvaller in eerste instantie minder, en moet hij zoeken naar manieren om meer bevoegdheden te krijgen.

Maar iedereen in het 'cyberwereldje' is het erover eens: het is een kwestie van tijd tot mensen dat lukt. Daarom moeten bedrijven nu snel aan de slag, stelt ook het Nationaal Cyber Security Centrum (NCSC) van de Nederlandse overheid. Fokker: "Hoe langer je wacht, hoe groter de kans dat iemand erin slaagt om dit te misbruiken."

Vaisha Bernard, mede-oprichter van beveiligingsbedrijf EYE, denkt dat de aanvallers op een bepaald moment in één keer kunnen toeslaan. "Bijvoorbeeld een paar dagen voor Kerst." Dan is er minder personeel aanwezig en veroorzaakt een aanval met bijvoorbeeld ransomware veel meer schade. Het overkwam twee jaar geleden nog de Universiteit Maastricht.

Een gevaar daarbij is dat bedrijven over het hoofd zien dat ze 'Log4j' ergens gebruiken, zonder dat ze het weten. "Het is alsof er ergens een ingrediënt van een fabrikant dat in heel veel producten zit opeens niet in orde blijkt te zijn", zegt Groenewegen.

Groot verschil met de voedselindustrie is dat daarbij beter minutieus wordt bijgehouden welk ingrediënt in welk product zit. Hoewel het NCSC samen met onderzoekers in allerijl een lijst met kwetsbare producten heeft opgesteld, is dat volledige overzicht er voor software niet.

Ook een probleem is dat veel software zoals deze - die door ontzettend veel bedrijven wordt gebruikt, van overheden tot tech-giganten - door vrijwilligers in hun vrije tijd wordt onderhouden. Groenewegen: "Miljoenenbedrijven zijn dan afhankelijk van het werk van een paar vrijwilligers. Dat is toch ook bizar?"

Bron: @xkcdComic, github.com, @chvancooten, @gemhofvantwente, cmweb.nl, nos.nl

‘Apache Log4j’ gerelateerde artikelen 》

 

Actuele aanvallen overzicht per dag 》

Ernstige kwetsbaarheden 》

 

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.

Meer nieuws

Cyberaanvallen op farmaceutische bedrijven

Noord-Korea heeft geprobeerd om de vaccin technologie van 'Pfizer' te stelen. Medewerkers van de Zuid-Koreaanse inlichtingen- en veiligheidsdienst NIS hebben dat in besloten kring verteld aan de leden van de veiligheidscommissie van het parlement. Het communistische land onder leiding van Kim Jong-un wilde meer te weten komen over de inhoud en productie van het corona vaccin.

Lees meer »

Ransomware weekoverzicht 06-2021

De stad Seraing in België en een Frans ziekenhuis getroffen door ransomware, HelloKitty cybercriminelen achter aanval op game ontwikkelaar van o.a. The Witcher, en Avaddon ransomware lost een fout op waardoor gratis decodering mogelijk is. Hier het overzicht van de nieuwste ransomware vormen en het nieuws van dag tot dag.

Lees meer »

Cybercrime nieuwsbrief 145 (week 06-2021)

QR-code scanner App wordt na update Malware, hacker verhoogde deeltjes 'Natronloog' van 100 naar 11.000 per miljoen waterdeeltjes en cybercriminelen verkopen broncode van o.a. 'The Witcher 3' op darkweb. Dit en meer lees je in nieuwsbrief 145. Nog niet ingeschreven voor deze gratis nieuwsbrief over cybercrime en darkweb? Schrijf je dan hier in.

Lees meer »

Digitale fraude, oplichting meldingen week 06-2021

Het melden van 'digitale oplichting' pogingen is belangrijk, door het melden kunnen we andere potentiële slachtoffers behoeden voor het te laat is. Heb je een phishing mail, smishing bericht of werd je gebeld en vertrouw je het niet? Laat het ons, of onze collega's van Opgelicht?!, Radar, Kassa, of Fraudehelpdesk dan weten, want Samen bestrijden we cybercrime / digitale fraude. Liever anoniem? Klik dan hier.

Lees meer »

Cybercriminelen verkopen broncode van o.a. 'The Witcher 3' op darkweb

Het zit de Poolse ontwikkelaar 'CD Projekt RED' niet mee. 'Cyberpunk 2077' kent veel problemen, de Poolse autoriteiten kijken mee met hoe de ontwikkelaar zaken aanpakt, Sony heeft hun recente game van het PlayStation Network afgehaald en zo zijn er nog meer dingen aan de hand. Tot overmaat van ramp zijn ze nu ook nog slachtoffer geworden van hackers, die een ultimatum hebben gesteld.

Lees meer »

“Ze willen het, ze kunnen het en ze doen het”

Digitale spionage vanuit China en Rusland vormt een ‘onmiddellijke dreiging’ voor de Nederlandse economie. De Algemene en Militaire Inlichtingen- en Veiligheidsdienst (AIVD en MIVD) betrappen dagelijks hackers uit deze landen die proberen in te breken op de netwerken van bedrijven en universiteiten. Ook organisaties uit de ‘vitale infrastructuur’, zoals banken, telecom- en nutsvoorzieningsbedrijven, zijn regelmatig het doelwit van hackers. Om die reden willen de veiligheidsdiensten een hoger budget voor om meer hackers aan te trekken en het aantal ICT-systemen te vergroten.

Lees meer »

Identiteitsfraude: Als bedrijf draag je een grote verantwoordelijkheid

Identiteitsfraude komt vaker voor dan u denkt. Ook bent u er misschien niet altijd bewust van wanneer er misbruik kan worden gemaakt van uw identiteitsgegevens of van die van uw klanten. Wees daarom altijd bedacht op eventuele risico’s, zeker als u een kopie van uw identiteitsbewijs verstrekt aan (betrouwbare) organisaties of als u dit van uw klanten vraagt.

Lees meer »

Tien verdachten aangehouden voor 'Sim-swapping'

Criminelen hebben vorig jaar door middel van 'sim-swapping' meer dan 100 miljoen dollar (83 miljoen Euro) gestolen, zo laat Europol gisteren weten. In totaal zijn er in deze zaak inmiddels tien verdachten aangehouden. Acht verdachten werden eergisteren door de Britse politie opgepakt. De overige twee verdachten konden eerder al in België en Malta worden aangehouden.

Lees meer »

Phishing in een ander jasje

De laatste tijd krijg ik steeds meer vragen op Cybercrimeinfo.nl hoe het kan dat er in de agenda een afspraak is toegevoegd terwijl dit niet door de eigenaar zelf is geplaatst?! Ook bij Opgelicht is hier onlangs aandacht aan besteed. Hoe werkt dit en hoe kan dit?

Lees meer »