CVE-2021-44228 a.k.a. LOG4J

Questo è un repository pubblico di Wortell contenente informazioni, link, file e altri elementi relativi alle vulnerabilità di Log4j

A causa delle vulnerabilità in log4j 2.17.0 ora si consiglia di aggiornare alla versione 2.17.1

CVE note

---

1. Scansione

Ecco alcune opzioni per provare a trovare applicazioni che utilizzano Log4j e potrebbero potenzialmente essere sfruttate:

• Add-in BURP Pro: https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• Scanner di file (obv PowerShell, per Windows): https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• Scanner di file (obv Go, tutte le piattaforme) https://github.com/dtact/divd-2021-00038--log4j-scanner (Disabiliterà anche JNDI, quando trovato!)
• App di test vulnerabile: https://github.com/kugg/log4shellverify
• Scanner Web/URL: https://github.com/zerobs-rvn/hrafna
• Scanner Web/URL: https://github.com/fullhunt/log4j-scan
• Shodan: https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Plugin Tenable: https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Scanner Lunasec: https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• Log Scanner (Controlla i file di log locali per indicatori di tentativi di sfruttamento) https://github.com/Neo23x0/log4shell-detector
• Rileva le versioni di log4j sul filesystem, incluse copie annidate ricorsivamente profonde (jar dentro jar dentro jar). Funziona su Linux, Windows e Mac, e ovunque Java sia eseguito! https://github.com/mergebase/log4j-detector
• Scanner basato su Ansible https://github.com/robertdebock/ansible-role-cve_2021_44228

2. Indicatori di Compromissione

• NCC Group Indicatori di compromissione https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• Stringhe di exploit Log4J annidate https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• Feed IOC di Microsoft Threat Intelligence Center https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Elenco IOC di Crowdsec https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth ha anche pubblicato un'ottima regola YARA: https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. Applicazioni Vulnerabili

• Elenco NCSC (olandese) delle applicazioni vulnerabili: https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. Informazioni

• Lunasec (Guida per rilevare e mitigare Log4Shell) https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Govcert.ch Attacchi Zero Day contro la popolare libreria Java Log4j https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• Guida NCSC olandese: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• Avviso NCSC olandese: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell: il peggior incubo del difensore? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• Microsoft: Guida per prevenire, rilevare e cacciare lo sfruttamento di CVE-2021-44228 Log4j 2 https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• Come rilevare Log4j con MS Endpoint Manager (Alex Verboon) https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• Attaccanti ora si stanno spostando da LDAP a RMI https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti diventa il primo gruppo di criminalità informatica sofisticato a utilizzare Log4j2 come arma https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. Campioni

• VX-underground mantiene una libreria di campioni di famiglie di malware che sono state osservate abusare della CVE di log4j: https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• Campioni di versioni della libreria log4j per aiutare a validare scanner/detector di log4j: https://github.com/mergebase/log4j-samples/

• Microsoft Sentinel fornisce un ambiente di laboratorio di ricerca CVE-2021-44228 Log4Shell per testare e saperne di più sulla vulnerabilità: https://github.com/Cyb3rWard0g/log4jshell-lab

6. Patch

• Apache LOG4J versione 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. Guida alla Mitigazione

! IMPORTANTE ! Gli exploit vengono sviluppati continuamente. Assicurati sempre di lavorare con la versione più recente degli scanner. È verificato che gli scanner utilizzati di seguito tengano conto del fatto che è raccomandata la versione 2.17.1 di log4j.

1. Identificare potenziali dispositivi vulnerabili utilizzando https://github.com/NCSC-NL/log4shell/blob/main/software/README.md - Questo è un compito che richiede tempo, ma devi comunque farlo, quindi è meglio iniziare rapidamente!

2. Eseguire una scansione per verificare la presenza di applicazioni/dipendenze Java vulnerabili utilizzando: https://github.com/dtact/divd-2021-00038--log4j-scanner con il comando divd-2021-00038--log4j-scanner.exe {percorso-destinazione} e osservare i file che sono stati classificati come vulnerabili.

3. Eseguire una scansione per verificare tentativi di exploit utilizzando https://github.com/Neo23x0/log4shell-detector python3 log4shell-detector.py -p c:\ e osservare i tentativi di sfruttamento.

8. Blog di Wortell

Qui ci sono specialisti di Wortell che scrivono blog su LOG4J:

• Jeffrey Appel: Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen: reverse engineering https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell