Réponse de Datto à Log4Shell

Le vendredi 10 décembre 2021, la nouvelle de l’exploitation active d’une vulnérabilité « zero-day » jusque-là inconnue (CVE-2021-44228) dans un composant courant des logiciels basés sur Java, appelé log4j, s’est largement répandue. L’étendue de l’intégration de ce progiciel dans les technologies et les plateformes du monde entier est encore en cours d’évaluation, ce qui rend la réponse à cet incident particulièrement complexe pour tout programme de sécurité.

Rapport de situation

À l'heure actuelle, Datto n'a constaté aucune vulnérabilité significative liée à la faille log4j susceptible d'affecter la sécurité d'utilisation de ses produits. Si cette évaluation venait à évoluer, nous en informerions immédiatement les partenaires de Datto.

Datto a mis à profit les heures qui se sont écoulées depuis la divulgation publique de l'exploitation pour mettre en place une évaluation et une réponse complètes. Ce billet détaillera pour vous ce que Datto a fait pour évaluer et répondre à cette vulnérabilité, ce que nous continuons à faire pour assurer une utilisation sûre de notre technologie, et offrira quelques informations et renseignements de notre propre programme de sécurité que vous pouvez utiliser pour vous aider à vous protéger et à protéger vos clients PME.

La vulnérabilité

Pour ceux qui s'en souviennent, cette faille de sécurité de Log4j rappellera sans doute celle de ShellShock en 2014. En s'appuyant sur cette analogie, on peut en conclure que cette faille de Log4j est potentiellement la faille critique la plus grave que nous ayons connue cette année.

L'exploitation de la vulnérabilité nécessite une seule requête HTTP contenant une entrée malveillante depuis n'importe où dans le monde, vers un serveur orienté vers l'internet qui exécute une instance vulnérable de log4j. Le résultat est une compromission totale du système et l'exploitation ne nécessite aucune authentification. Il n'y a rien de plus grave, surtout si l'on tient compte de l'ampleur du déploiement de ce composant logiciel courant.

À l'heure actuelle, d'autres acteurs du secteur de la sécurité ont réalisé un travail remarquable en décrivant le fonctionnement de cette vulnérabilité. Plutôt que de revenir sur ces détails, je vous invite à consulter les rapports exhaustifs publiés par CloudFlare et le SANS Internet Storm Center.

Réponse aux vulnérabilités

Les équipes d'ingénierie de Datto n'ont pas identifié d'exposition matérielle à la vulnérabilité, et sont confiantes dans l'utilisation sûre des produits Datto. Bien que nous considérions notre réponse initiale comme terminée, nous restons dans un état de surveillance active et de préparation à la réponse.

La situation évolue et nous nous attendons à ce que d'autres technologies affectées soient connues dans les jours et les semaines à venir. Tous les professionnels de la technologie devront surveiller les derniers développements et réévaluer continuellement leur exposition.

Notre première priorité était d'effectuer une évaluation initiale complète et de réagir. Cela a été fait. Ces activités se sont concentrées sur les points suivants :

• Évaluer l'utilisation des produits Datto
• Inspecter les systèmes d'infrastructure dans nos inventaires de biens
• Recherche de technologies tierces vulnérables
• Inventorier les fournisseurs tiers de Datto pour les engager et comprendre leur réponse.

Délai de réponse

Lors de l'analyse des événements de sécurité, il est utile d'examiner l'effort de réponse sous la forme d'une chronologie. Les moments clés de la chronologie de la réponse aux vulnérabilités de Datto sont fournis pour illustrer la progression de notre réponse et donner une idée de sa profondeur et de sa portée.

Au plus tard à 10:00 ET vendredi

• L'équipe de sécurité de l'information de Datto a commencé le triage initial et, après une courte période, a déterminé qu'il s'agissait d'un problème potentiellement grave nécessitant une réponse formelle.

Au plus tard à 11:00 ET vendredi

• Le CISO de Datto a déclaré un incident de sécurité et s'est appuyé sur des processus préétablis pour rediriger les ressources d'ingénierie et d'informatique vers l'effort de réponse active.
• L'équipe Third-Party Risk de Datto a commencé à évaluer les fournisseurs pour détecter les vulnérabilités potentielles.
• Les champions de la sécurité logicielle sont rassemblés et ont commencé à évaluer les produits Datto pour l'impact potentiel sous la direction de l'équipe de sécurité des applications de Datto.

Au plus tard à 12:00 ET vendredi

• L'équipe des opérations de sécurité de Datto
  • a confirmé que la journalisation en place est suffisante pour observer les requêtes malveillantes.
  • a commencé à créer de nouvelles règles d'alerte pour trier les événements de scan en temps réel
  • a confirmé que toutes les activités de balayage n'ont pas abouti ; n'a pas donné lieu à une résolution de domaine C2 ou à des connexions sortantes.

Au plus tard à 14:00 ET vendredi

• L'équipe de sécurité offensive de Datto disposait d'un scanner fonctionnant sur toutes les présences web de Datto en contact avec l'Internet, évaluant automatiquement les vulnérabilités.

Au plus tard à 15:00 ET vendredi

• L'analyse des équipes de sécurité offensive de Datto a été réalisée et n'a trouvé aucune instance vulnérable dans l'ensemble de l'infrastructure orientée web de Datto (tous produits et clouds).
• L'équipe Third-Party Risk de Datto a exploité des informations de sources ouvertes et notre plateforme de surveillance continue des fournisseurs pour identifier les fournisseurs potentiellement sensibles et a commencé à les contacter

Au plus tard à 16:00 ET vendredi

• L'évaluation initiale est presque terminée.
• Malgré l'utilisation de log4j dans quelques produits Datto, il a été déterminé que ces instances étaient
  • n'utilise pas une version vulnérable ;
  • n'est pas accessible par l'internet et présente un risque immédiat ;
  • protégés par des contrôles compensatoires ;
  • déjà mis à niveau ; ou
  • fonctionnaient avec la solution de contournement de configuration appliquée

Jusqu'à 12:00 ET samedi

• L'équipe de réponse élargie s'est regroupée et a commencé à revérifier systématiquement les résultats de l'évaluation de vendredi, et à intégrer les nouvelles informations qui sont apparues au cours de la nuit, afin de nous aider à mieux répondre à la situation.
• Aucune autre instance n'a été identifiée et les tentatives d'exploitation n'ont pas abouti, ce qui permet à Datto de maintenir sa conclusion de la veille, à savoir que les produits Datto peuvent être utilisés en toute sécurité à l'heure actuelle.

Réponse continue

Les équipes d'ingénierie et de sécurité de l'information de Datto restent dans un état de réponse active et de préparation afin de :

• Triple vérification de nos évaluations initiales
• Surveiller l'apparition d'informations supplémentaires sur l'étendue des technologies touchées.
• Réévaluer l'exposition si nécessaire
• Exploiter les informations commerciales et open source sur les menaces pour surveiller les changements dans les schémas d'attaque et adapter les activités de réponse si nécessaire.
• Continuer à s'engager avec les fournisseurs pour s'assurer que le risque de tierce partie (quatrième partie de nos partenaires) est compris et géré de manière appropriée.

Renseignements sur les menaces

L'équipe des opérations de sécurité de Datto a commencé à surveiller activement l'environnement à la recherche de charges utiles malveillantes.

Opportunités de détection

Des indicateurs de tentatives d'énumération et d'exploitation peuvent être trouvés dans les journaux des logiciels qui exploitent log4j.

Red Canary, partenaire de Datto en matière de surveillance des intrusions, a publié des conseils selon lesquels les chaînes de déclenchement d'exploit suivantes sont attendues dans diverses parties des requêtes HTTP (par exemple, user-agent, Username, URI, etc.) :

${jndi:ldap://

${jndi:ldaps:// 

${jndi:rmi://

L'équipe de surveillance des intrusions de Datto a constaté que des charges utiles inséraient le ${jndi: exploiter des chaînes de caractères présentes dans de nombreuses parties différentes des requêtes Web.

Evasion

Les chercheurs en sécurité soulignent que la surveillance qui repose uniquement sur ${jndi: La détection par correspondance de motifs est incomplète, car il existe plusieurs moyens de la contourner. Un exemple de ce type, fourni par Brandon Forbes et retweeté par Katie Nichols de Red Canary, peut être consulté ici.

Sources d'information

Il est maintenant largement rapporté que les nœuds de sortie TOR génèrent une part importante de l'activité de scan et la surveillance de Datto le confirme. Envisagez de bloquer toutes les connexions entrantes en provenance des nœuds de sortie TOR.

Commande et contrôle (C2)

Vous trouverez ci-dessous une liste des serveurs C2 que Datto a observés.

dnslog[.]cn

interactsh[.]com

interact[.]sh

burpcollaborator[.]com

eg0[.]ru

bingsearchlib[.]com

Il est possible que celles-ci soient utilisées à des fins de recherche légitimes, mais aussi à des fins malveillantes. Pour l'instant, nous vous recommandons de bloquer les requêtes entrantes contenant les charges utiles de ces serveurs C2, ainsi que les requêtes sortantes contenant ces serveurs C2.

Charges utiles d'intérêt

En utilisant nos logs et des renseignements de source ouverte (OSINT), nous avons identifié plusieurs adresses IP C2 servant des scripts shell malveillants. Ce sont les premiers d'une longue série, mais leur étude peut nous renseigner sur ce qui nous attend. Nous pensons qu'il faut leur accorder une attention particulière.

lh.sh et lh2.sh

Les scripts shell ne sont pas servis à l'heure où nous écrivons ces lignes, ce qui rend l'analyse hors ligne difficile. Sur la base de l'OSINT, nous pensons que ces fichiers sont associés à des tentatives actives de :

1. Recruter des systèmes pour participer à un botnet DDoS
2. Recruter un système pour participer à Coin Miners

Perspectives d'avenir

Les jours et les semaines à venir seront difficiles, car les exploits mûrissent et évoluent, on en sait plus sur les technologies courantes qui intègrent cette vulnérabilité, et d'autres divulgations de tiers sont publiées concernant la vulnérabilité de la technologie.

Les mineurs de monnaie et les botnets DDoS ne sont que le début de ce que nous verrons dans les jours à venir. Il est raisonnable de prédire qu'une exploitation massive se produira dans un avenir proche. Il est également probable que les groupes affiliés aux ransomwares incluront cet exploit dans leurs playbooks et que les acteurs de la menace des ransomwares intégreront l'exploitation de cette vulnérabilité dans leurs kits de logiciels malveillants.

La bonne nouvelle est qu'il est encore temps d'agir. Exploitez les informations contenues dans ce blog pour vous aider à vous protéger et à protéger vos clients PME, et soyez assurés de la vigilance de Datto.