'Log4j' kerstcadeau voor cybercriminelen

Gepubliceerd op 14 december 2021 om 15:00

Diverse bedrijven grijpen hard in en zetten uit voorzorg webapplicaties uit. Verschillende gemeenten hebben dat nu al gedaan. Ook ABN Amro bevestigt tegenover de krant een deel van zijn systemen te hebben uitgeschakeld. IT-beveiligers zeggen bij de NOS dat het slechts een kwestie van dagen zal zijn voor er ransomware-aanvallen plaatsvinden die veel systemen tegelijk kunnen grijpen.

Wat is het probleem?

Een groot beveiligingsprobleem in een vrij onbekend softwarepakket met de naam 'Log4j' leidt tot veel hoofdbrekens bij beveiligingsexperts. Het softwarepakket is alomtegenwoordig, waardoor veel bedrijven - en daarmee ook hun klanten - kwetsbaar zijn. Maar de precieze impact zal pas later duidelijk worden.

De angst is dat bedrijven slachtoffer worden van ransomware, of dat data van klanten gestolen zullen worden. Het is verleidelijk om te denken dat dat misschien meevalt, nu na vier dagen nog geen gevallen bekend zijn van gehackte bedrijven.

Maar die kans op een meevaller lijkt klein. "Nee, ik denk niet dat dit met een sisser gaat aflopen", zegt beveiligingsexpert Frank Groenewegen van Deloitte. "Aanvallers zijn momenteel druk bezig om te bedenken hoe ze het probleem het best kunnen misbruiken."

Dat denkt ook beveiligingsonderzoeker John Fokker van McAfee, wiens weekend net als dat van veel collega's in het teken stond van het nieuws over het beveiligingsprobleem. "Nu zijn aanvallers nog op zoek naar potentiële slachtoffers. Over een paar dagen of weken zul je de eerste ransomware-slachtoffers zien."

Waarom 'Log4j' kwetsbaarheid zo gevaarlijk is 

Het beveiligingsprobleem zit in een softwarepakket dat massaal blijkt te worden gebruikt en is bedoeld om zogenoemde logboeken bij te houden. Veel softwarepakketten doen dat: op die manier kan de activiteit van een computersysteem worden bijgehouden en kunnen fouten worden ontdekt en zelfs 'hack aanvallen' worden geregistreerd. In dit geval kan een aanvaller eigen programmeercode uitvoeren door een fout in het softwarepakket.

Veel andere softwarepakketten blijken 'Log4j' te gebruiken om hun logboeken bij te houden. Dus nu er een ernstig lek in het pakket is ontdekt, zijn in één keer ook ontzettend veel bedrijven in potentie kwetsbaar. Wel verschilt de precieze impact en de manier waarop het lek kan worden misbruikt per bedrijf.

Ook grote bedrijven als Apple, Amazon en Tesla zijn nu dus ook kwetsbaar voor het vrijdag ontdekte probleem. En ook grote softwarepakketten, die op hun beurt weer door ontzettend veel bedrijven en organisaties worden gebruikt, hebben het probleem aan boord, soms ook zonder dat ze het weten.

"Ik denk dat vrij weinig mensen doorhebben hoe diep dit gaat", zegt onderzoeker Cas van Cooten, ook van Deloitte. Hij slaagde erin Apple te 'hacken' door de naam van zijn iPhone te veranderen. Door programmeercode in zijn telefoonnaam te zetten, leidde hij een Apple-server om de tuin en werd er een onschuldig signaaltje verstuurd naar een server die Van Cooten uitkoos. Een kwaadwillende zou ernstigere zaken voor elkaar kunnen krijgen.

'Log4j' kerstcadeau cybercriminelen

Het probleem zit hem in een logsysteem van web- en applicatieservers. Aanvallers kunnen via dit probleem ongewenste opdrachten uitvoeren op de systemen van organisaties. Ook kunnen ze met een simpele opdracht zien of systemen kwetsbaar zijn om vervolgens een aanval uit te voeren. De kerstvakantie is traditiegetrouw een periode dat aanvallers toeslaan, omdat er dan minder personeel beschikbaar is. Met deze timing in het achterhoofd, verwachten deskundigen grote problemen op zeer korte termijn.

Nu al wordt malware uitgezaaid die ervoor zorgt dat rekenkracht wordt ingepikt om cryptovaluta te minen. Dat is vooral vervelend, maar legt systemen meestal niet plat. De grotere angst is voor ransomware die via dit gat naar binnensluipt. 

Uniek of niet?

Dat er in één keer zo veel bedrijven en computersystemen kwetsbaar zijn voor één probleem, is vrij uniek. Tegelijkertijd waren er in het verleden ook beveiligingsproblemen die sneller tot problemen leidden. Zo werden deze zomer in één keer veel bedrijven getroffen door ransomware, nadat een beveiligingsprobleem in het programma Kaseya was gevonden. Dat wordt veel gebruikt door ict-beheerders om op afstand computers te beheren.

Dat was een enorm krachtig lek: als een systeem kwetsbaar was, kon je als aanvaller meteen op zogenoemd beheerdersniveau ingrijpen en bijvoorbeeld ransomware uitvoeren. Dat is in dit geval niet zo.

"Het bijhouden van logboeken gebeurt op een lager niveau", legt Groenewegen uit. Daardoor kan een aanvaller in eerste instantie minder, en moet hij zoeken naar manieren om meer bevoegdheden te krijgen.

Maar iedereen in het 'cyberwereldje' is het erover eens: het is een kwestie van tijd tot mensen dat lukt. Daarom moeten bedrijven nu snel aan de slag, stelt ook het Nationaal Cyber Security Centrum (NCSC) van de Nederlandse overheid. Fokker: "Hoe langer je wacht, hoe groter de kans dat iemand erin slaagt om dit te misbruiken."

Vaisha Bernard, mede-oprichter van beveiligingsbedrijf EYE, denkt dat de aanvallers op een bepaald moment in één keer kunnen toeslaan. "Bijvoorbeeld een paar dagen voor Kerst." Dan is er minder personeel aanwezig en veroorzaakt een aanval met bijvoorbeeld ransomware veel meer schade. Het overkwam twee jaar geleden nog de Universiteit Maastricht.

Een gevaar daarbij is dat bedrijven over het hoofd zien dat ze 'Log4j' ergens gebruiken, zonder dat ze het weten. "Het is alsof er ergens een ingrediënt van een fabrikant dat in heel veel producten zit opeens niet in orde blijkt te zijn", zegt Groenewegen.

Groot verschil met de voedselindustrie is dat daarbij beter minutieus wordt bijgehouden welk ingrediënt in welk product zit. Hoewel het NCSC samen met onderzoekers in allerijl een lijst met kwetsbare producten heeft opgesteld, is dat volledige overzicht er voor software niet.

Ook een probleem is dat veel software zoals deze - die door ontzettend veel bedrijven wordt gebruikt, van overheden tot tech-giganten - door vrijwilligers in hun vrije tijd wordt onderhouden. Groenewegen: "Miljoenenbedrijven zijn dan afhankelijk van het werk van een paar vrijwilligers. Dat is toch ook bizar?"

Bron: @xkcdComic, github.com, @chvancooten, @gemhofvantwente, cmweb.nl, nos.nl

‘Apache Log4j’ gerelateerde artikelen 》

 

Actuele aanvallen overzicht per dag 》

Ernstige kwetsbaarheden 》

 

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.

Meer nieuws

FBI directeur "criminelen aangetrokken tot versleuteld communiceren"

Criminelen voelen zich aangetrokken tot versleutelde communicatie en apparaten omdat ze denken dat ze hierdoor zonder consequenties en te worden ontdekt hun misdrijven kunnen plegen, zo stelt FBI-directeur Christopher Wray. Wray sprak tijdens een conferentie van de FBI over cybersecurity. Tijdens dezelfde conferentie pleitte de Amerikaanse minister van Justitie William Barr voor een einde aan end-to-end-encryptie.

Lees meer »

Politie pakt verdachten op voor oplichting via QR-codes

Afgelopen maandag heeft de politie twee mannen van 26 jaar uit Rotterdam aangehouden. Zij worden ervan verdacht de afgelopen tijd in het centrum van Rotterdam tientallen mensen te hebben opgelicht door middel van een listige babbeltruc. De verdachten zijn gisteren voorgeleid aan de rechter-commissaris.

Lees meer »

Admin van Darkweb Marktplaats 'Silk Road' krijgt 6,5 jaar cel

GARY DAVIS, alias "Libertas", is vandaag veroordeeld tot 6,5 jaar gevangenisstraf en het betalen van een bedrag van 25.000 dollar voor zijn rol als Admin op de Darkweb Market "Silk Road". Silk Road was een online Darkweb markt  met een ongekende omvang. Toen de site online was van 2011 tot 2013 werd Silk Road door duizenden drugsdealers en verkopers gebruikt om voor meer dan $ 200 miljoen aan illegale drugs en andere illegale goederen en diensten te verkopen aan meer dan 115.000 kopers en miljoenen dollars wit te wassen. DAVIS pleitte eerder schuldig voor de districtsrechter Jesse M. Furman van de Verenigde Staten, die ook de huidige straf heeft opgelegd.

Lees meer »

Afpersmails weer volop in omloop

#CCINL waarschuwde al een paar keer eerder voor een valse mail, waarin staat dat de afzender je stiekem filmde terwijl je jezelf aan het bevredigen was. Opnieuw stroomt onze inbox vol met meldingen zoals deze.

Lees meer »

57 miljoen euro schade door Ransomware aanval

Het Noorse aluminium bedrijf 'Hydro' die op 19 maart door ransomware werd getroffen is door het incident in de eerste helft van dit jaar een bedrag van tussen de 57 en 67 miljoen euro verloren. Dat heeft het bedrijf bij de publicatie van de cijfers over het tweede kwartaal bekendgemaakt.

Lees meer »