Datto brengt Log4Shell RMM-component uit voor Datto-partners en MSP-gemeenschap

Op vrijdag 10 december 2021 werd op grote schaal bekend dat er actief misbruik werd gemaakt van een kritieke kwetsbaarheid (CVE-2021-44228) in een veelgebruikte component van op Java gebaseerde software, Log4j genaamd.

Meer informatie over het beveiligingslek en de eerste reactie van Datto vindt u in onze blogpost ‘Datto’s reactie op Log4Shell ’.

De mate waarin dit softwarepakket is geïntegreerd in de technologieën en platformen van de wereld wordt nog steeds ontdekt en het opsommen van kwetsbare instanties of potentiële aanvallen kan op schaal moeilijk zijn.

Vandaag heeft Datto zowel een ' Datto RMM '-component voor zijn partners uitgebracht als een community-script voor alle MSP’s, waarmee u de kracht en het bereik van uw RMM – ongeacht de leverancier – kunt benutten om systemen in kaart te brengen die zowel potentieel kwetsbaar zijn als mogelijk zijn aangevallen. De tool kan ook proberen bescherming te bieden tegen vervolgaanvallen door een bekende tijdelijke oplossing toe te passen.

Datto-partners: RMM-component

Datto heeft de Log4Shell Enumeration, Mitigation and Attack Detection Tool voor Windows en Linux ontwikkeld, waarmee de nieuwste detectiemethoden die door Florian Roth zijn gepubliceerd, worden gedownload en uitgevoerd.

De tool is gratis beschikbaar voor Datto RMM partners via de ComStore.

MSP's kunnen de tool gebruiken op beschermde systemen om:

• Scan alle JAR-bestanden op het systeem op tekenen van onveilige versies van Log4j
• TXT- en LOG-bestanden op een systeem doorzoeken op indicatoren van een potentiële aanval
• Zorg ervoor dat u automatisch beschermd bent tegen toekomstige pogingen tot misbruik door de LOG4J_FORMAT_MSG_NO_LOOKUPS omgevingsvariabele naar TRUE.

Als de component tekenen van een aanval identificeert, wordt er een rapport geproduceerd. Een Datto RMM Bestands-/Mapgrootte monitor kan worden geconfigureerd om naar dit rapport te zoeken, waarvan de aanwezigheid een indicator is dat er verdachte activiteit is gedetecteerd.

MSP Gemeenschap: Scripts beschikbaar op Github

Windows

Datto heeft op GitHub de ‘Log4Shell Enumeration, Mitigation and Attack Detection Tool’ voor Windows beschikbaar gesteld. Deze tool kan in combinatie met elke RMM worden gebruikt om de bredere gemeenschap te helpen bij het in kaart brengen van kwetsbare systemen, het opsporen van mogelijke aanvallen en het bieden van tijdelijke bescherming.

Linux

We hebben ook gekeken naar het maken van een Linux-script, maar kwamen tot de conclusie dat de Fenrir- tool van Florian Roth alles is wat MSP’s nodig hebben, en dat het voor ons geen zin had om die tool voor hen opnieuw te verpakken.

Tool beperkingen

• Als de tool de nieuwste detecties niet kan downloaden, wordt standaard een versie uit de cache gebruikt. Systemen moeten toegang hebben tot https://www.github.com om gebruik te kunnen maken van de meest actuele beveiliging.
• Er zijn een aantal technieken om patronen te omzeilen die veelgebruikte detectietechnieken omzeilen die worden gebruikt door de meegeleverde detectieregels. Als zodanig zijn deze tools een aanvulling op, en geen vervanging voor, een grondige logboekcontrole.
• Inentingen kunnen ineffectief zijn op bepaalde systemen, afhankelijk van hoe het Log4j-pakket is ingebed.
• Een positief resultaat hoeft niet per se te betekenen dat er een kwetsbaarheid aanwezig is die misbruikt kan worden. De resultaten moeten worden beschouwd als een prioriteitenlijst voor uw analyse.

Respons bij incidenten

Als u een aanvalsdetectie hebt waarvan u denkt dat het een echte positieve aanval is en u kunt bevestigen dat er vervolgens een uitgaande verbinding is gemaakt met een Command and Control (C2)-server, dan raden we u aan samen te werken met uw SIEM, SOC, MDR, MSSP of ander Incident Response-bedrijf om u te helpen bij het uitvoeren van een onderzoek naar de mogelijke aanwezigheid van een bedreigende actor.

Goede jacht

Het is nu tijd om waakzaam te blijven en een actieve houding aan te nemen bij het opsommen en patchen van systemen tegen deze opkomende bedreiging. We hopen dat deze tool u daarbij de nodige ondersteuning biedt.