CVE-2021-44228 também conhecido como LOG4J

Este é um repositório público da Wortell contendo informações, links, arquivos e outros itens relacionados às vulnerabilidades do Log4j

Devido a vulnerabilidades no log4j 2.17.0, agora é recomendado aplicar o patch para a versão 2.17.1

CVEs conhecidas

---

1. Varredura

Aqui estão algumas opções para tentar encontrar aplicações que usam Log4j e que podem potencialmente ser abusadas:

• Complemento do BURP Pro: https://gist.github.com/kugg/0d08b6548db249eaffaca1799e0d01d6
• Scanner de arquivos (obviamente PowerShell, para Windows): https://gist.github.com/Skons/0b9bbfbbf37d2707ccf83f3d549a6588
• Scanner de Arquivos (obviamente Go, todas as plataformas) https://github.com/dtact/divd-2021-00038--log4j-scanner (Também desabilitará o JNDI, quando encontrado!)
• Aplicativo de teste vulnerável: https://github.com/kugg/log4shellverify
• Scanner de Web/URL: https://github.com/zerobs-rvn/hrafna
• Scanner de Web/URL: https://github.com/fullhunt/log4j-scan
• Shodan: https://www.shodan.io/search?query=has_vuln%3ACVE2021-44228
• Plugins do Tenable: https://www.tenable.com/plugins/search?q=cves%3A%28%22CVE-2021-44228%22%29&sort=&page=1
• Scanner do Lunasec: https://github.com/lunasec-io/lunasec/releases/tag/v1.0.0-log4shell
• Scanner de Log (verifica arquivos de log locais em busca de indicadores de tentativas de exploração) https://github.com/Neo23x0/log4shell-detector
• Detecta versões do log4j no seu sistema de arquivos, incluindo cópias profundamente aninhadas de forma recursiva (jars dentro de jars dentro de jars). Funciona em Linux, Windows e Mac, e em qualquer outro lugar onde o Java execute também! https://github.com/mergebase/log4j-detector
• Scanner baseado em Ansible https://github.com/robertdebock/ansible-role-cve_2021_44228

2. Indicadores de Comprometimento

• Indicadores de comprometimento do NCC Group https://research.nccgroup.com/2021/12/12/log4shell-reconnaissance-and-post-exploitation-network-detection/
• Strings de exploit Log4J aninhadas https://github.com/Puliczek/CVE-2021-44228-PoC-log4j-bypass-words
• Feed de IOCs do Microsoft Threat Intelligence Center https://raw.githubusercontent.com/Azure/Azure-Sentinel/master/Sample%20Data/Feeds/Log4j_IOC_List.csv
• Lista de IOCs do Crowdsec https://gist.github.com/blotus/f87ed46718bfdc634c9081110d243166

Florian Roth também publicou uma ótima regra YARA: https://github.com/Neo23x0/signature-base/blob/master/yara/expl_log4j_cve_2021_44228.yar

3. Aplicações Vulneráveis

• (holandês) lista do NCSC de aplicações vulneráveis: https://github.com/NCSC-NL/log4shell/blob/main/software/README.md

4. Informações

• Lunasec (Guia para detectar e mitigar o Log4Shell) https://www.lunasec.io/docs/blog/log4j-zero-day-mitigation-guide/
• Exploits de dia zero do Govcert.ch direcionados à popular biblioteca Java Log4j https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/
• Orientação do NCSC holandês: https://www.ncsc.nl/actueel/nieuws/2021/december/12/kwetsbare-log4j-applicaties-en-te-nemen-stappen
• Aviso do NCSC holandês: https://www.ncsc.nl/actueel/advisory?id=NCSC-2021-1052
• Log4Shell: o pior pesadelo do defensor? https://www.sekoia.io/en/log4shell-the-defenders-worst-nightmare/
• Microsoft: orientações para prevenir, detectar e caçar a exploração do CVE-2021-44228 no Log4j 2 https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/
• Como detectar o Log4j com o MS Endpoint Manager (Alex Verboon) https://www.verboon.info/2021/12/how-to-detect-the-log4shell-vulnerability-cve-2021-44228-with-microsoft-endpoint-configuration-manager/
• Atacantes agora estão mudando de LDAP para RMI https://blogs.juniper.net/en-us/threat-research/log4j-vulnerability-attackers-shift-focus-from-ldap-to-rmi
• Conti se torna o primeiro grupo sofisticado de crimeware a usar o Log4j2 como arma https://www.advintel.io/post/ransomware-advisory-log4shell-exploitation-for-initial-access-lateral-movement

5. Amostras

• O VX-underground está mantendo uma biblioteca de amostras de famílias de malware que foram vistas abusando do CVE do log4j: https://samples.vx-underground.org/samples/Families/Log4J%20Malware/

• Amostras de versões da biblioteca log4j para ajudar a validar scanners / detectores de log4j: https://github.com/mergebase/log4j-samples/

• O Microsoft Sentinel fornece um Ambiente de Laboratório de Pesquisa do Log4Shell CVE-2021-44228 para testar e aprender mais sobre a vulnerabilidade: https://github.com/Cyb3rWard0g/log4jshell-lab

6. Patches

• Apache LOG4J versão 2.17.1 https://logging.apache.org/log4j/2.x/download.html

7. Guia de Mitigação

! IMPORTANTE ! Exploits são desenvolvidos continuamente. Sempre certifique-se de trabalhar com a versão mais recente dos scanners. Foi verificado que os scanners usados abaixo levam em consideração que a versão 2.17.1 do log4j é a recomendada.

1. Identifique possíveis dispositivos vulneráveis usando https://github.com/NCSC-NL/log4shell/blob/main/software/README.md - Esta é uma tarefa demorada, mas você precisa fazê-la de qualquer forma, então é melhor começar rapidamente!

2. Execute uma varredura para verificar aplicações/dependências Java vulneráveis usando: https://github.com/dtact/divd-2021-00038--log4j-scanner com o comando divd-2021-00038--log4j-scanner.exe {target-path} e observe os arquivos que foram classificados como vulneráveis.

3. Execute uma varredura para verificar tentativas de exploit usando https://github.com/Neo23x0/log4shell-detector python3 log4shell-detector.py -p c:\ e observe as tentativas de exploração.

8. Blogs da Wortell

Aqui estão especialistas da Wortell escrevendo sobre LOG4J:

• Jeffrey Appel: Microsoft Defender https://jeffreyappel.nl/microsoft-defender-for-endpoint-log4j/

• Jeroen Niesen: engenharia reversa https://www.wortell.nl/en/blogs/cve-2021-44228-log4shell