Datto lance le composant Log4Shell RMM pour les partenaires Datto et la communauté MSP

Le vendredi 10 décembre 2021, la nouvelle de l'exploitation active d'une faille critique (CVE-2021-44228) dans un composant courant des logiciels basés sur Java, appelé Log4j, s'est largement répandue.

Pour plus d'informations sur cette vulnérabilité et sur la réaction initiale de Datto, consultez notre article de blog intitulé « Réaction de Datto face à Log4Shell ».

Le degré d'intégration de ce progiciel dans les technologies et les plates-formes mondiales est encore en cours de découverte, et le recensement des instances vulnérables ou des attaques potentielles peut s'avérer difficile à l'échelle.

Aujourd'hui, Datto a lancé à la fois un composant « Datto RMM » destiné à ses partenaires et un script communautaire destiné à tous les MSP. Ces outils vous aideront à tirer parti de la puissance et de la portée de votre solution de gestion à distance (RMM), quel que soit le fournisseur, pour recenser les systèmes potentiellement vulnérables et ceux qui ont potentiellement subi une attaque. L'outil peut également tenter de vous protéger contre des attaques ultérieures en appliquant une solution de contournement connue.

Partenaires Datto : composant RMM

Datto a développé l'outil « Log4Shell Enumeration, Mitigation and Attack Detection Tool » pour Windows et Linux, qui télécharge et exécute les dernières méthodes de détection publiées par Florian Roth.

L'outil est disponible gratuitement pour les partenaires Datto RMM via le ComStore.

Les MSP peuvent utiliser l'outil sur des systèmes protégés pour :

• Analyser tous les fichiers JAR sur le système pour détecter les signes de versions non sécurisées de Log4j.
• Rechercher dans les fichiers TXT et LOG d'un système des indicateurs d'une attaque potentielle.
• Prévenez automatiquement les futures tentatives d'exploitation en configurant le LOG4J_FORMAT_MSG_NO_LOOKUPS variable d'environnement vers TRUE.

Si le composant identifie des signes d'attaque, un rapport sera produit. Un moniteur de taille de fichier/dossier de Datto RMM peut être configuré pour rechercher ce rapport, dont la présence est un indicateur qu'une activité suspecte a été détectée.

Communauté MSP : Scripts disponibles sur Github

Windows

Datto a mis à disposition sur GitHub l'outil « Log4Shell Enumeration, Mitigation and Attack Detection Tool for Windows », qui peut être utilisé en association avec n'importe quelle solution de gestion à distance (RMM) afin d'aider l'ensemble de la communauté à recenser les instances vulnérables, à détecter les attaques potentielles et à mettre en place une protection temporaire.

Linux

Nous avons également étudié la possibilité de créer un script Linux, mais nous avons constaté que l’outil Fenrir de Florian Roth répondait parfaitement aux besoins des MSP et qu’il n’y avait donc aucun intérêt à le reconditionner pour eux.

Limites de l'outil

• Si l'outil ne parvient pas à télécharger les dernières mises à jour de détection, il utilisera par défaut une version mise en cache. Les systèmes devront se connecter à l'adresse https://www.github.com pour bénéficier de la protection la plus récente.
• Il existe un certain nombre de techniques d'évasion du pattern-matching qui contournent les techniques de détection communes utilisées par les règles de détection packagées. En tant que tels, ces outils complètent et ne remplacent pas un examen approfondi des journaux.
• Les inoculations peuvent être inefficaces sur certains systèmes en fonction de la manière dont le paquet Log4j est intégré.
• Un résultat positif n'indique pas nécessairement la présence d'une vulnérabilité exploitable. Les résultats doivent être considérés comme une liste de priorités pour votre analyse.

Réponse aux incidents

Si vous avez une détection d'attaque que vous pensez être un vrai positif, et que vous êtes en mesure de confirmer qu'une connexion sortante ultérieure vers un serveur de commande et de contrôle (C2) a été effectuée, nous vous suggérons de travailler avec votre SIEM, SOC, MDR, MSSP ou toute autre société de réponse aux incidents pour vous aider à mener une enquête sur la présence potentielle d'un acteur de la menace.

Chasse au bonheur

Il est temps de rester vigilant et d'adopter une position active dans l'énumération et la correction des systèmes contre cette menace émergente. Nous espérons que cet outil vous apportera le soutien nécessaire dans cette entreprise.