Datto's Antwort auf Log4Shell

Am Freitag, dem 10. Dezember 2021, wurde allgemein bekannt, dass eine bislang unbekannte Zero-Day-Sicherheitslücke (CVE-2021-44228) in einer weit verbreiteten Komponente java-basierter Software, bekannt als log4j, aktiv ausgenutzt wird. In welchem Umfang dieses Softwarepaket in Technologien und Plattformen weltweit integriert ist, wird derzeit noch ermittelt, was die Reaktion darauf für jedes Sicherheitsprogramm zu einer sich ständig verändernden Aufgabe macht.

Lagebericht

Datto hat bislang keine wesentlichen Risiken im Zusammenhang mit der log4j-Sicherheitslücke festgestellt, die die sichere Nutzung von Datto-Produkten beeinträchtigen würden. Sollte sich diese Einschätzung ändern, werden wir die Datto-Partner umgehend informieren.

Datto hat die Zeit seit dem Bekanntwerden der Sicherheitslücke genutzt, um eine umfassende Bewertung vorzunehmen und zu reagieren. In diesem Beitrag erfahren Sie, was Datto unternommen hat, um diese Schwachstelle zu bewerten und darauf zu reagieren, was wir weiterhin tun, um die sichere Nutzung unserer Technologie zu gewährleisten, und welche Informationen und Erkenntnisse aus unserem eigenen Sicherheitsprogramm Sie nutzen können, um sich und Ihre KMU-Kunden zu schützen.

Die Schwachstelle

Wer sich daran erinnert, dem wird diese log4j-Sicherheitslücke Erinnerungen an ShellShock aus dem Jahr 2014 wecken. Ausgehend von dieser Analogie lässt sich schließen, dass diese log4j-Sicherheitslücke möglicherweise die schwerwiegendste kritische Sicherheitslücke ist, die wir in diesem Jahr gesehen haben.

Um die Schwachstelle auszunutzen, ist eine einzige HTTP-Anfrage mit bösartiger Eingabe von einem beliebigen Ort auf der Welt an einen Server mit Internetanschluss erforderlich, auf dem eine anfällige Instanz von log4j läuft. Das Ergebnis ist eine vollständige Systemkompromittierung, und die Schwachstelle erfordert keine Authentifizierung. Das ist wirklich schlimm, vor allem wenn man bedenkt, wie weit verbreitet diese Softwarekomponente ist.

Mittlerweile haben andere Experten aus der Sicherheitsbranche hervorragende Arbeit geleistet und detailliert beschrieben, wie die Sicherheitslücke funktioniert. Anstatt die Details noch einmal zu wiederholen, möchte ich Sie bitten, die umfassenden Berichte von CloudFlare und dem SANS Internet Storm Center zu lesen.

Reaktion auf Sicherheitslücken

Die technischen Teams von Datto haben keine wesentliche Gefährdung durch die Schwachstelle festgestellt und sind zuversichtlich, dass die Produkte von Datto sicher verwendet werden können. Während wir unsere erste Reaktion als abgeschlossen betrachten, bleiben wir in einem Zustand der aktiven Überwachung und Bereitschaft zu reagieren.

Die Situation entwickelt sich weiter und wir erwarten, dass in den kommenden Tagen und Wochen weitere betroffene Technologien bekannt werden. Alle Technologieexperten müssen die neuesten Entwicklungen im Auge behalten und ihre Gefährdung ständig neu bewerten.

Unsere oberste Priorität war es, eine erste umfassende Bewertung und Reaktion durchzuführen. Dies ist bereits geschehen. Der Schwerpunkt dieser Aktivitäten lag auf den folgenden Punkten:

• Bewertung der Nutzung von Datto-Produkten
• Inspektion von Infrastruktursystemen in unseren Anlagenbeständen
• Erforschung anfälliger Technologien von Drittanbietern
• Bestandsaufnahme von Datto's Drittanbietern, um sie einzubinden und ihre Reaktionen zu verstehen

Zeitleiste für Antworten

Bei der Analyse von Sicherheitsereignissen ist es hilfreich, die Reaktion in Form einer Zeitleiste zu betrachten. Die Schlüsselmomente aus der Zeitleiste der Schwachstellenreaktion von Datto werden hier dargestellt, um zu veranschaulichen, wie unsere Reaktion ablief und um ein Gefühl für ihre Tiefe und ihren Umfang zu vermitteln.

Bis 10:00 ET am Freitag

• Das Informationssicherheitsteam von Datto begann mit einer ersten Sichtung und stellte nach kurzer Zeit fest, dass es sich um ein potenziell ernstes Problem handelte, das eine formelle Reaktion erforderte.

Bis 11:00 ET am Freitag

• Der CISO von Datto meldete einen Sicherheitsvorfall und nutzte die zuvor eingerichteten Prozesse, um die technischen und IT-Ressourcen auf die aktive Reaktion umzuleiten
• Das Third-Party-Risk-Team von Datto begann, Anbieter auf potenzielle Schwachstellen zu prüfen
• Software Security Champions werden gesammelt und beginnen unter der Leitung von Datto's Application Security Team damit, Datto Produkte auf mögliche Auswirkungen zu prüfen

Bis 12:00 ET am Freitag

• Datto's Sicherheitsteam
  • bestätigte, dass die vorhandene Protokollierung ausreicht, um bösartige Anfragen zu erkennen
  • hat mit der Erstellung neuer Warnregeln begonnen, um Scan-Ereignisse in Echtzeit zu klassifizieren
  • bestätigte, dass alle Scan-Aktivitäten nicht erfolgreich waren; führte nicht zu einer C2-Domänenauflösung oder ausgehenden Verbindungen

Bis 14:00 ET am Freitag

• Das Offensive Security Team von Datto hatte einen funktionierenden Scanner im Einsatz, der alle Internetauftritte von Datto automatisch auf Schwachstellen überprüfte

Bis 15:00 ET am Freitag

• Datto's Offensive Security Teams Scan wurde abgeschlossen und hat keine verwundbaren Instanzen in der gesamten Web-Infrastruktur von Datto gefunden (alle Produkte und Clouds)
• Das Datto-Risikoteam für Drittanbieter nutzte Open-Source-Informationen und unsere Plattform zur kontinuierlichen Überwachung von Anbietern, um potenziell anfällige Anbieter zu identifizieren, und begann, diese zu kontaktieren.

Bis 16:00 ET am Freitag

• Die erste Bewertung steht kurz vor dem Abschluss.
• Obwohl einige Produkte von Datto log4j verwenden, wurde festgestellt, dass diese Instanzen
  • nicht mit einer anfälligen Version;
  • nicht internetfähig und unmittelbar gefährdet;
  • durch kompensierende Kontrollen geschützt;
  • bereits aktualisiert wurde; oder
  • mit dem Konfigurations-Workaround ausgeführt wurden

Bis 12:00 ET am Samstag

• Das breit angelegte Reaktionsteam hat sich neu formiert und damit begonnen, unsere Bewertungsergebnisse vom Freitag systematisch zu überprüfen und neue Informationen, die über Nacht aufgetaucht sind, zu integrieren, um uns zu helfen, weiter zu reagieren.
• Es wurden keine weiteren Instanzen identifiziert, und weitere Ausnutzungsversuche waren nicht erfolgreich, so dass Datto an der Schlussfolgerung vom Vortag festhält, dass die Produkte von Datto zu diesem Zeitpunkt weiterhin sicher sind.

Fortgesetzte Reaktion

Die Technik- und Informationssicherheitsteams von Datto bleiben in einem Zustand der aktiven Reaktion und Bereitschaft, um:

• Dreifache Überprüfung unserer Anfangsbewertungen
• Überwachen Sie, ob zusätzliche Informationen über den Umfang der betroffenen Technologien auftauchen.
• Erforderlichenfalls eine Neubewertung der Exposition vornehmen
• Nutzung von kommerziellen und Open-Source-Bedrohungsdaten zur Überwachung von Änderungen in Angriffsmustern und zur Anpassung von Reaktionsmaßnahmen, falls erforderlich
• Weitere Zusammenarbeit mit Anbietern, um sicherzustellen, dass die Risiken von Drittanbietern (den Partnern) verstanden und angemessen gehandhabt werden

Bedrohungsanalyse

Das Datto Security Operations Team begann mit der aktiven Überwachung der Umgebung auf bösartige Nutzdaten.

Möglichkeiten der Erkennung

Indikatoren für Enumerations- und Exploit-Versuche können in Protokollen von Software gefunden werden, die log4j nutzt.

Datto's Partner für Intrusion Monitoring, Red Canary, hat eine Anleitung veröffentlicht, die besagt, dass die folgenden Exploit-Trigger-Strings in verschiedenen Teilen von HTTP-Anfragen (z.B. User-Agent, Username, URI, etc.) erwartet werden:

${jndi:ldap://

${jndi:ldaps:// 

${jndi:rmi://

Das Intrusion-Monitoring-Team von Datto hat festgestellt, dass Payloads die ${jndi: Exploit-Strings in vielen verschiedenen Teilen von Webanfragen.

Umgehung

Sicherheitsforscher warnen davor, dass eine Überwachung, die sich ausschließlich auf ${jndi: Der Musterabgleich ist unvollständig, da es eine Reihe von Umgehungsmöglichkeiten gibt. Ein solches Beispiel von Brandon Forbes, das von Katie Nichols von Red Canary retweetet wurde, kann hier eingesehen werden hier.

Quellen

Es wird inzwischen vielfach berichtet, dass TOR-Exit-Knoten einen Großteil der Scan-Aktivitäten verursachen, und Datto's Überwachung bestätigt dies. Erwägen Sie, alle eingehenden Verbindungen von TOR-Exit-Knoten zu blockieren.

Befehl und Kontrolle (C2)

Nachfolgend finden Sie eine Liste der C2-Server, die Datto beobachtet hat.

dnslog[.]cn

interactsh[.]com

interact[.]sh

burpcollaborator[.]com

eg0[.]ru

bingsearchlib[.]com

Es ist möglich, dass diese sowohl für legitime Forschungszwecke als auch für böswillige Zwecke genutzt werden. Derzeit empfehlen wir Ihnen, eingehende Anfragen mit den Payloads dieser C2-Server sowie ausgehende Anfragen, die diese C2-Server enthalten, zu blockieren.

Nutzlasten von Interesse

Mithilfe unserer Protokolle und Open-Source-Informationen (OSINT) haben wir mehrere C2-IP-Adressen identifiziert, die bösartige Shell-Skripte ausführen. Dies sind die ersten von vielen, aber ihre Untersuchung kann aufschlussreich sein für das, was noch kommen wird. Wir sind der Meinung, dass diesen Adressen besondere Aufmerksamkeit gewidmet werden sollte.

lh.sh und lh2.sh

Die Shell-Skripte werden zum Zeitpunkt der Erstellung dieses Dokuments nicht bereitgestellt, was eine Offline-Analyse erschwert. Aufgrund von OSINT glauben wir, dass diese Dateien mit aktiven Versuchen in Verbindung stehen:

1. Rekrutierung von Systemen für die Teilnahme an einem DDoS-Botnet
2. Rekrutieren Sie ein System für die Teilnahme an Coin Miners

Blick nach vorn

Die kommenden Tage und Wochen werden herausfordernd sein, da die Exploits reifen und sich weiterentwickeln, mehr über gängige Technologien bekannt wird, in die diese Schwachstelle eingebettet ist, und mehr Informationen von Dritten über die Anfälligkeit von Technologien veröffentlicht werden.

Münzschürfer und DDoS-Botnetze sind nur der Anfang dessen, was wir in den kommenden Tagen erleben werden. Es ist absehbar, dass es in naher Zukunft zu einer massenhaften Ausnutzung kommen wird. Es ist auch wahrscheinlich, dass Ransomware-Affiliates diese Schwachstelle in ihre Playbooks aufnehmen und Ransomware-Bedrohungsakteure die Ausnutzung dieser Schwachstelle in ihre Malware-Kits integrieren werden.

Die gute Nachricht ist, dass noch Zeit ist, Maßnahmen zu ergreifen. Nutzen Sie die in diesem Blog enthaltenen Informationen, um sich und Ihre SMB-Kunden zu schützen, und seien Sie versichert, dass Datto wachsam ist.