Datto's reactie op Log4Shell

Op vrijdag 10 december 2021 werd op grote schaal bekend dat er actief misbruik werd gemaakt van een tot dan toe onbekende zero-day-kwetsbaarheid (CVE-2021-44228) in een veelgebruikte component van op Java gebaseerde software, ook wel log4j genoemd. De mate waarin dit softwarepakket is geïntegreerd in technologieën en platforms wereldwijd wordt nog steeds in kaart gebracht, waardoor de aanpak hiervan voor elk beveiligingsprogramma een voortdurend veranderend proces is.

Situatierapport

Datto heeft op dit moment geen wezenlijke blootstelling aan het log4j-beveiligingslek vastgesteld die gevolgen zou hebben voor het veilige gebruik van Datto-producten. Mocht deze beoordeling veranderen, dan zullen we de Datto-partners onmiddellijk op de hoogte brengen.

Datto heeft gebruik gemaakt van de tussenliggende uren sinds de openbaarmaking van het lek om een uitgebreide beoordeling en reactie uit te voeren. In dit bericht wordt gedetailleerd beschreven wat Datto heeft gedaan om deze kwetsbaarheid te beoordelen en erop te reageren, wat we blijven doen om het veilige gebruik van onze technologie te waarborgen en wat u aan informatie en informatie uit ons eigen beveiligingsprogramma kunt gebruiken om uzelf en uw MKB-klanten te beschermen.

De kwetsbaarheid

Voor wie het zich nog herinnert: deze kwetsbaarheid in log4j roept herinneringen op aan ShellShock in 2014. Als je die analogie aanhaalt, kun je concluderen dat deze kwetsbaarheid in log4j mogelijk de meest ingrijpende kritieke kwetsbaarheid is die we dit jaar hebben gezien.

Exploitatie van de kwetsbaarheid vereist een enkel HTTP-verzoek met kwaadaardige invoer van waar ook ter wereld, naar een server met internetverbinding waarop een kwetsbare instantie van log4j draait. Het resultaat is een volledige compromittering van het systeem en de exploit vereist geen authenticatie. Dit is het ergste wat er is, zeker als je bedenkt hoe wijdverspreid dit veelgebruikte softwareonderdeel is.

Op dit moment hebben anderen binnen de beveiligingsgemeenschap uitstekend werk verricht door uit te leggen hoe deze kwetsbaarheid precies werkt. In plaats van de details nog eens te herhalen, raad ik u aan de uitgebreide rapporten te lezen die zijn gepubliceerd door CloudFlare en het SANS Internet Storm Center.

Antwoord op kwetsbaarheden

De technische teams van Datto hebben geen materiële blootstelling aan de kwetsbaarheid geïdentificeerd en hebben vertrouwen in het veilige gebruik van Datto producten. Hoewel we onze eerste reactie als compleet beschouwen, blijven we in een staat van actieve monitoring en gereedheid om te reageren.

Deze situatie evolueert en we verwachten dat er in de komende dagen en weken nieuws bekend zal worden over andere getroffen technologieën. Alle technologieprofessionals moeten de nieuwste ontwikkelingen in de gaten houden en hun blootstelling voortdurend opnieuw beoordelen.

Onze topprioriteit was het voltooien van een eerste uitgebreide beoordeling en reactie. Dit is voltooid. De focus van deze activiteiten lag op het volgende:

• Gebruik binnen Datto producten beoordelen
• Infrastructuursystemen inspecteren in onze inventarisatie van bedrijfsmiddelen
• Onderzoek naar kwetsbare technologieën van derden
• Inventarisatie van Datto's externe leveranciers om hen te betrekken en inzicht te krijgen in hun reacties

Tijdlijn reactie

Bij het analyseren van beveiligingsgebeurtenissen is het handig om de respons als een tijdlijn te bekijken. Belangrijke momenten uit de tijdlijn van Datto's reactie op kwetsbaarheden worden weergegeven om te illustreren hoe onze reactie vorderde en om een idee te geven van de diepte en omvang ervan.

Door 10:00 ET op vrijdag

• Het Information Security-team van Datto begon met de eerste triage en stelde na korte tijd vast dat dit een potentieel ernstig probleem was dat een formele reactie vereiste.

Door 11:00 ET op vrijdag

• De CISO van Datto heeft een beveiligingsincident afgekondigd en van tevoren vastgestelde processen gebruikt om technische en IT-middelen in te zetten voor een actieve respons.
• Het Third-Party Risk-team van Datto is begonnen met het beoordelen van leveranciers op mogelijke kwetsbaarheden.
• Software Security Champions zijn verzameld en begonnen met het beoordelen van Datto producten op potentiële impact onder begeleiding van Datto's Application Security team.

Door 12:00 ET op vrijdag

• Datto's Security Operations-team
  • bevestigd dat de bestaande logging voldoende is om kwaadaardige verzoeken te observeren
  • is begonnen met het maken van nieuwe waarschuwingsregels om scangebeurtenissen in realtime te triagen
  • bevestigde dat alle scanactiviteiten niet succesvol waren; resulteerde niet in C2-domeinresolutie of uitgaande verbindingen

Door 14:00 ET op vrijdag

• Het Offensive Security-team van Datto had een werkende scanner die automatisch op kwetsbaarheden in alle Datto-websites controleerde.

Door 15:00 ET op vrijdag

• De scan van Datto's offensieve beveiligingsteams is voltooid en heeft geen kwetsbare instanties gevonden in alle webgebaseerde infrastructuur van Datto (alle producten en clouds).
• Datto's Third-Party Risk-team maakte gebruik van open-source informatie en ons platform voor continue leveranciersbewaking om leveranciers te identificeren die mogelijk vatbaar zijn en begon contact met hen op te nemen.

Door 16:00 ET op vrijdag

• De eerste beoordeling is bijna afgerond.
• Ondanks het feit dat enkele Datto producten log4j in gebruik hadden, werd vastgesteld dat die instanties
  • die geen kwetsbare versie gebruikt;
  • niet toegankelijk is via internet en onmiddellijk gevaar loopt;
  • beschermd door compenserende controles;
  • al een upgrade heeft uitgevoerd; of
  • werden uitgevoerd met de configuratieworkaround toegepast

Door 12:00 ET op zaterdag

• Het brede responsteam hergroepeerde zich en begon systematisch onze bevindingen van vrijdag opnieuw te verifiëren en nieuwe informatie te integreren die 's nachts beschikbaar kwam, om ons te helpen verder te reageren.
• Er werden geen extra gevallen geïdentificeerd en voortdurende pogingen tot uitbuiting waren niet succesvol, waardoor Datto vasthoudt aan de conclusie van de dag ervoor dat Datto-producten op dit moment veilig blijven voor gebruik.

Blijven reageren

Datto Engineering en Information Security teams blijven in een staat van actieve respons en paraatheid om:

• Drievoudige controle van onze eerste beoordelingen
• Controleer of er aanvullende informatie beschikbaar is over de omvang van de technologieën die beïnvloed worden
• Waar nodig opnieuw beoordelen op blootstelling
• Gebruikmaken van commerciële en open source informatie over bedreigingen om veranderingen in aanvalspatronen te bewaken en reactieactiviteiten zo nodig aan te passen
• Blijven samenwerken met leveranciers om ervoor te zorgen dat onze Third-Party (de Vierde Partij van onze partners) risico's begrijpt en op de juiste manier wordt beheerd.

Informatie over bedreigingen

Het Security Operations-team van Datto begon de omgeving actief te controleren op schadelijke payloads.

Detectiekansen

Indicatoren van opsommings- en uitbuitpogingen kunnen worden gevonden in logboeken van software die log4j gebruikt.

Datto's partner in inbraakmonitoring, Red Canary, heeft richtlijnen vrijgegeven dat de volgende exploit-triggerstrings worden verwacht in verschillende delen van HTTP-verzoeken (bijv. user-agent, gebruikersnaam, URI, enz.):

${jndi:ldap://

${jndi:ldaps:// 

${jndi:rmi://

Het Intrusion Monitoring-team van Datto heeft vastgesteld dat payloads de ${jndi: misbruik maken van tekenreeksen in allerlei verschillende delen van webverzoeken.

Ontwijking

Beveiligingsonderzoekers waarschuwen dat monitoring die uitsluitend berust op ${jndi: De patroonherkenning is onvolledig, aangezien er een aantal manieren zijn om dit te omzeilen. Een voorbeeld hiervan, afkomstig van Brandon Forbes en geretweet door Katie Nichols van Red Canary, is hier te bekijken hier.

Bronnen

Het is nu algemeen bekend dat TOR-exit-knooppunten een leeuwendeel van de scanactiviteit genereren en Datto's monitoring bevestigt dit. Overweeg om alle inkomende verbindingen van TOR-exit nodes te blokkeren.

Commando en besturing (C2)

Hieronder vindt u een lijst met C2-servers die Datto heeft waargenomen.

dnslog[.]cn

interactsh[.]com

interactie[.]sh

burpcollaborator[.]com

eg0[.]ru

bingsearchlib[.]com

Het is mogelijk dat deze worden gebruikt voor legitieme onderzoeksdoeleinden, maar ook voor kwaadwillige doeleinden. Op dit moment raden wij u aan om inkomende verzoeken met de payloads van deze C2’s en uitgaande verzoeken die deze C2’s bevatten, te blokkeren.

Payloads van belang

Met behulp van onze logboeken en open-source intelligence (OSINT) hebben we meerdere C2 IP-adressen geïdentificeerd die kwaadaardige shellscripts serveren. Dit zijn de eerste van wat er vele zullen zijn, maar het bestuderen ervan kan informatief zijn over wat er komen gaat. We vinden dat deze speciale aandacht verdienen.

lh.sh en lh2.sh

De shellscripts worden op het moment van schrijven niet geserveerd en dat maakt offline analyse moeilijk. Gebaseerd op OSINT geloven we dat deze bestanden geassocieerd zijn met actieve pogingen om:

1. Systemen werven voor deelname aan een DDoS-botnet
2. Werf een systeem voor deelname aan Coin Miners

Vooruitblik

De komende dagen en weken zullen uitdagend zijn naarmate exploits zich verder ontwikkelen, er meer bekend wordt over veelgebruikte technologieën waarin deze kwetsbaarheid is ingebouwd en er meer bekend wordt over de gevoeligheid van technologieën door derden.

Muntminers en DDoS-botnets zijn nog maar het begin van wat we de komende dagen zullen zien. Het is redelijk om te voorspellen dat massale exploitatie in de nabije toekomst zal plaatsvinden. Het is ook waarschijnlijk dat aan ransomware gelieerde groepen deze exploit in hun draaiboeken zullen opnemen en dat ransomware-dreigingsactoren exploitatie van deze kwetsbaarheid in hun malwarekits zullen opnemen.

Het goede nieuws is dat er nog steeds tijd is om actie te ondernemen. Gebruik de informatie in deze blog om uzelf en uw MKB-klanten te beschermen en wees ervan verzekerd dat Datto waakzaam is.