Door Joseph Menn
SAN FRANCISCO (Reuters) - Het Amerikaanse agentschap dat belast is met de verdediging van het land tegen hacking, zei dinsdag dat de meerderheid van de aanvallen die het heeft gezien met behulp van een recent onthulde fout in veelgebruikte open-sourcesoftware klein was, en velen van hen probeerden de rekenkracht te kapen om cryptovaluta te minen.
Onze beste handelsrobots
Ambtenaren van de Cybersecurity and Infrastructure Security Agency zeiden dat ze rapporten van meerdere beveiligingsbedrijven over ransomware-installaties of pogingen van andere regeringen om geheimen te stelen niet hebben bevestigd.
"We zien geen wijdverbreide, zeer geavanceerde inbraakcampagnes", zei Eric Goldstein, uitvoerend assistent-directeur voor cyberbeveiliging bij CISA, in een gesprek met verslaggevers.
Maar hij waarschuwde dat de dreiging zou blijven evolueren en het bureau was nog steeds bezig om betrouwbare informatie te verzamelen over welke soorten software het slachtoffer waren van de aanvallen.
Hij zei dat het mogelijk was dat wijdverbreide consumentenapparaten zoals routers kwetsbaar waren en dat zijn eenheid binnen het Department of Homeland Security met leveranciers werkte om ze waar nodig fixes te laten implementeren.
De fout werd gevonden in een veelgebruikte logging-tool, bekend als Log4j, en wordt overgedragen door ten minste honderden andere programma's die op de tool vertrouwen. Goldstein zei dat de fout gemakkelijk te misbruiken is.
Hoewel er sinds 6 december een patch in de tool beschikbaar is, moeten veel van die andere programma's de patch ook implementeren om te voorkomen dat een aanvaller diepe netwerktoegang krijgt.
Onder recent verleende bevoegdheden heeft CISA alle federale agentschappen opgedragen om patches te installeren zodra deze beschikbaar komen.
Goldstein zei dat er geen meldingen zijn geweest van inbraken waarbij gebruik wordt gemaakt van de kwetsbaarheid in de overheid, maar CISA verwacht dat “allerlei tegenstanders” zullen proberen de fout te misbruiken.
Met de logfunctie kunnen gebruikers live code indienen die verwijst naar een externe repository, die het programma vervolgens zal zoeken en installeren. Hackers kunnen dat gebruiken om de controle over de servers over te nemen, die mogelijk toegang hebben tot andere machines met waardevollere gegevens of netwerkkrachten.
Hoewel de fout al jaren bestaat in het gratis Log4j-programma, werd deze onlangs ontdekt door een onderzoeker van het Chinese technologiebedrijf Alibaba (NYSE:BABA) en rapporteerde aan de groep vrijwilligers die het programma onderhoudt. Open discussie binnen het Chinese beveiligingsbedrijf werd ontdekt en enige exploitatie van de fout begon vóór de Apache (NASDAQ:APA) Software Foundation zou de patch kunnen uitgeven.
Goldstein zei dat het "betreft" elke keer dat een fout wordt uitgebuit voordat een patch uit is. Volgens recente Chinese regelgeving moeten sommige beveiligingsprofessionals hun bevindingen snel aan de overheid melden, vaak voordat patches gereed zijn.
Lees verder over Reuters
