'Log4j' kerstcadeau voor cybercriminelen

Gepubliceerd op 14 december 2021 om 15:00

Diverse bedrijven grijpen hard in en zetten uit voorzorg webapplicaties uit. Verschillende gemeenten hebben dat nu al gedaan. Ook ABN Amro bevestigt tegenover de krant een deel van zijn systemen te hebben uitgeschakeld. IT-beveiligers zeggen bij de NOS dat het slechts een kwestie van dagen zal zijn voor er ransomware-aanvallen plaatsvinden die veel systemen tegelijk kunnen grijpen.

Wat is het probleem?

Een groot beveiligingsprobleem in een vrij onbekend softwarepakket met de naam 'Log4j' leidt tot veel hoofdbrekens bij beveiligingsexperts. Het softwarepakket is alomtegenwoordig, waardoor veel bedrijven - en daarmee ook hun klanten - kwetsbaar zijn. Maar de precieze impact zal pas later duidelijk worden.

De angst is dat bedrijven slachtoffer worden van ransomware, of dat data van klanten gestolen zullen worden. Het is verleidelijk om te denken dat dat misschien meevalt, nu na vier dagen nog geen gevallen bekend zijn van gehackte bedrijven.

Maar die kans op een meevaller lijkt klein. "Nee, ik denk niet dat dit met een sisser gaat aflopen", zegt beveiligingsexpert Frank Groenewegen van Deloitte. "Aanvallers zijn momenteel druk bezig om te bedenken hoe ze het probleem het best kunnen misbruiken."

Dat denkt ook beveiligingsonderzoeker John Fokker van McAfee, wiens weekend net als dat van veel collega's in het teken stond van het nieuws over het beveiligingsprobleem. "Nu zijn aanvallers nog op zoek naar potentiële slachtoffers. Over een paar dagen of weken zul je de eerste ransomware-slachtoffers zien."

Waarom 'Log4j' kwetsbaarheid zo gevaarlijk is 

Het beveiligingsprobleem zit in een softwarepakket dat massaal blijkt te worden gebruikt en is bedoeld om zogenoemde logboeken bij te houden. Veel softwarepakketten doen dat: op die manier kan de activiteit van een computersysteem worden bijgehouden en kunnen fouten worden ontdekt en zelfs 'hack aanvallen' worden geregistreerd. In dit geval kan een aanvaller eigen programmeercode uitvoeren door een fout in het softwarepakket.

Veel andere softwarepakketten blijken 'Log4j' te gebruiken om hun logboeken bij te houden. Dus nu er een ernstig lek in het pakket is ontdekt, zijn in één keer ook ontzettend veel bedrijven in potentie kwetsbaar. Wel verschilt de precieze impact en de manier waarop het lek kan worden misbruikt per bedrijf.

Ook grote bedrijven als Apple, Amazon en Tesla zijn nu dus ook kwetsbaar voor het vrijdag ontdekte probleem. En ook grote softwarepakketten, die op hun beurt weer door ontzettend veel bedrijven en organisaties worden gebruikt, hebben het probleem aan boord, soms ook zonder dat ze het weten.

"Ik denk dat vrij weinig mensen doorhebben hoe diep dit gaat", zegt onderzoeker Cas van Cooten, ook van Deloitte. Hij slaagde erin Apple te 'hacken' door de naam van zijn iPhone te veranderen. Door programmeercode in zijn telefoonnaam te zetten, leidde hij een Apple-server om de tuin en werd er een onschuldig signaaltje verstuurd naar een server die Van Cooten uitkoos. Een kwaadwillende zou ernstigere zaken voor elkaar kunnen krijgen.

'Log4j' kerstcadeau cybercriminelen

Het probleem zit hem in een logsysteem van web- en applicatieservers. Aanvallers kunnen via dit probleem ongewenste opdrachten uitvoeren op de systemen van organisaties. Ook kunnen ze met een simpele opdracht zien of systemen kwetsbaar zijn om vervolgens een aanval uit te voeren. De kerstvakantie is traditiegetrouw een periode dat aanvallers toeslaan, omdat er dan minder personeel beschikbaar is. Met deze timing in het achterhoofd, verwachten deskundigen grote problemen op zeer korte termijn.

Nu al wordt malware uitgezaaid die ervoor zorgt dat rekenkracht wordt ingepikt om cryptovaluta te minen. Dat is vooral vervelend, maar legt systemen meestal niet plat. De grotere angst is voor ransomware die via dit gat naar binnensluipt. 

Uniek of niet?

Dat er in één keer zo veel bedrijven en computersystemen kwetsbaar zijn voor één probleem, is vrij uniek. Tegelijkertijd waren er in het verleden ook beveiligingsproblemen die sneller tot problemen leidden. Zo werden deze zomer in één keer veel bedrijven getroffen door ransomware, nadat een beveiligingsprobleem in het programma Kaseya was gevonden. Dat wordt veel gebruikt door ict-beheerders om op afstand computers te beheren.

Dat was een enorm krachtig lek: als een systeem kwetsbaar was, kon je als aanvaller meteen op zogenoemd beheerdersniveau ingrijpen en bijvoorbeeld ransomware uitvoeren. Dat is in dit geval niet zo.

"Het bijhouden van logboeken gebeurt op een lager niveau", legt Groenewegen uit. Daardoor kan een aanvaller in eerste instantie minder, en moet hij zoeken naar manieren om meer bevoegdheden te krijgen.

Maar iedereen in het 'cyberwereldje' is het erover eens: het is een kwestie van tijd tot mensen dat lukt. Daarom moeten bedrijven nu snel aan de slag, stelt ook het Nationaal Cyber Security Centrum (NCSC) van de Nederlandse overheid. Fokker: "Hoe langer je wacht, hoe groter de kans dat iemand erin slaagt om dit te misbruiken."

Vaisha Bernard, mede-oprichter van beveiligingsbedrijf EYE, denkt dat de aanvallers op een bepaald moment in één keer kunnen toeslaan. "Bijvoorbeeld een paar dagen voor Kerst." Dan is er minder personeel aanwezig en veroorzaakt een aanval met bijvoorbeeld ransomware veel meer schade. Het overkwam twee jaar geleden nog de Universiteit Maastricht.

Een gevaar daarbij is dat bedrijven over het hoofd zien dat ze 'Log4j' ergens gebruiken, zonder dat ze het weten. "Het is alsof er ergens een ingrediënt van een fabrikant dat in heel veel producten zit opeens niet in orde blijkt te zijn", zegt Groenewegen.

Groot verschil met de voedselindustrie is dat daarbij beter minutieus wordt bijgehouden welk ingrediënt in welk product zit. Hoewel het NCSC samen met onderzoekers in allerijl een lijst met kwetsbare producten heeft opgesteld, is dat volledige overzicht er voor software niet.

Ook een probleem is dat veel software zoals deze - die door ontzettend veel bedrijven wordt gebruikt, van overheden tot tech-giganten - door vrijwilligers in hun vrije tijd wordt onderhouden. Groenewegen: "Miljoenenbedrijven zijn dan afhankelijk van het werk van een paar vrijwilligers. Dat is toch ook bizar?"

Bron: @xkcdComic, github.com, @chvancooten, @gemhofvantwente, cmweb.nl, nos.nl

‘Apache Log4j’ gerelateerde artikelen 》

 

Actuele aanvallen overzicht per dag 》

Ernstige kwetsbaarheden 》

 

Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.

Meer nieuws

'Paniek' op het Darkweb tijdelijk door actie politie diensten?

Autoriteiten in de Verenigde Staten en Europa hebben onlangs een grootschalige actie gehouden tegen online drugsmarkten, waarbij Wall Street Market en Valhalla, twee van de grootste drugsmarkten op het zogenaamde Darkweb, werden gesloten. Toch lijkt de wens om drugs te kopen online thuis en geld te verdienen met de verkoop van drugs op het Darkweb groter dan de angst om opgepakt te worden door de politie. Ondanks de politie acties in de afgelopen zes jaar die geleid hebben tot de sluiting van ongeveer zes markten, waaronder de meest recente twee, zijn er volgens DarknetLive nog steeds bijna 30 illegale markten en nieuws- en informatiesite online op het darkweb. Deze week konden klanten nog steeds vijf gram heroïne kopen - "Beste kwaliteit, geen mix" - voor 0,021 Bitcoin (ongeveer € 180), of een tiende van een gram crack-cocaïne voor 0,0017 Bitcoin (ongeveer € 14) op de markt bekend als Berlusconi .

Lees meer »

Nederlanders en Belgen maken zich zorgen om digitale veiligheid

De Nederlandse veiligheidsindex van 2019 laat een stijging van zes punten zien, van 109 punten in 2018 naar 115 punten in 2019. Met name op het gebied van internetveiligheid zijn we ons meer zorgen gaan maken en een meerderheid van 54% vindt dat Nederlandse bedrijven onvoldoende maatregelen genomen hebben om hun persoonlijke data te beschermen, zelfs nadat de AVG vorig jaar van kracht werd.

Lees meer »

Vier aanhoudingen in onderzoek Marktplaats oplichting in regio Zeeland West-Brabant

Financiële rechercheurs van district De Markiezaten en agenten van de politieteams Bergen op Zoom en Roosendaal hebben de afgelopen tijd samen zaken opgepakt waarbij sprake was van oplichting via Marktplaats. Drie onderzoeken hebben inmiddels geleid naar vier verdachten. Twee verdachten zijn, gisteren, donderdag 13 juni, op hun woonadres aangehouden en overgebracht naar een politiebureau voor verhoor. Eén verdachte is op 1 april jl. aangehouden en verhoord. De vierde verdachte is uitgenodigd om een verklaring af te komen leggen. Deze man heeft zich nog niet gemeld en staat inmiddels gesignaleerd in het politiesysteem.

Lees meer »