Log4shell – Wat is het, hoe lossen we het op en waarom hebben organisaties er last van?

Weblogbericht | 17-12-2021 | NCSC

Hoe kunnen aanvallers toegang krijgen?

Door het misbruiken van de kwetsbaarheid kunnen aanvallers het organisaties erg moeilijk maken. Log4shell laat aanvallers namelijk hun eigen code gebruiken. Met deze code kunnen zij de server opdrachten geven.  Maar de aanvallers hebben meestal geen goede bedoelingen met deze code en nemen soms de server helemaal over. Dan kan alleen de aanvaller nog op de server. De eigenaar kan dan niet meer bij zijn bestanden of gegevens.

Wat als de kwetsbaarheid wordt misbruikt?

Als de aanvaller een server eenmaal heeft overgenomen, kan hij op verschillende manieren misbruik maken. Bijvoorbeeld door onderdelen van een systeem te vergrendelen. De eigenaar kan dan geen gebruik meer maken van zijn systeem, totdat er geld is betaald aan de aanvaller. Dit noemen we ransomware. Aanvallers kunnen ook persoonsgegevens en bedrijfsgeheimen stelen of processen verstoren. Op dit moment hebben we nog geen signalen ontvangen dat aanvallers dit ook doen. Wat aanvallers wel al doen, is op onderzoek uitgaan: ze kijken of organisaties een goed doelwit zouden zijn voor een (toekomstige) aanval. Hiervoor gebruiken ze ook weer software.

Aanvallen voorkomen

Omdat we zien dat aanvallers druk bezig zijn met het scannen naar zwakke plekken bij organisaties, vragen we organisaties zich voor te bereiden op een aanval. Want dat we nu nog geen groot misbruik zien, betekent niet dat het nooit komt. Het kan zijn dat aanvallers ervoor kiezen op een later moment alsnog toe te slaan. Organisaties kunnen op verschillende manieren een aanval voorkomen. Ze kunnen hun systemen updaten, pogingen tot misbruik van Log4j stoppen of (tijdelijk) hun systemen uitzetten.

Waarom kunnen we niet alle misbruik zien?

Ondanks dat er voor organisaties veel manieren zijn om kwetsbaarheden op te sporen, is het lastig om een volledig beeld te krijgen van het mogelijke misbruik. Systeem-eigenaren weten namelijk niet altijd of en welke van hun systemen Log4j hebben. Daarnaast zorgt Log4shell ervoor dat het voor aanvallers heel makkelijk is om hun sporen uit te wissen.  

Voorbereiden op misbruik

Organisaties kunnen zich op verschillende manieren voorbereiden. Eerst moeten zij kijken of Log4j gebruikt wordt in hun netwerk. Niet alleen in systemen die verbonden zijn met het internet, maar ook systemen zonder internetverbinding lopen risico. De meeste methoden die gebruikt worden om de controle te doen zijn nog niet 100% betrouwbaar. Vervolgens kunnen organisaties contact opnemen met hun softwareleverancier om te kijken of er een update is die de kwetsbaarheid kan oplossen. Is deze er niet, dan kan de organisatie besluiten of het mogelijk is het systeem uit te zetten tot er wel een oplossing is. Tot slot kan een organisatie ook extra software installeren die helpt bij het ontdekken en tegengaan van misbruik. We vragen organisaties ook om te zorgen dat ze een plan klaar hebben voor als er een aanval wordt uitgevoerd.