ATTACCHI · SFRUTTAMENTO DI MASSA DI UNA VULNERABILITÀ
Log4Shell, dicembre 2021: una riga di testo per entrare ovunque
A dicembre 2021 è emersa Log4Shell, una vulnerabilità nella libreria Java Log4j che permetteva di eseguire codice a distanza inviando una semplice stringa di testo. La libreria è dentro moltissimi programmi e servizi; il comitato federale statunitense che l'ha studiata l'ha definita una vulnerabilità «endemica», che resterà per un decennio o più.
- Vittima
- Chiunque usasse programmi con Log4j
- Settore
- Tutti i settori
- Paese
- Tutto il mondo
- Data
- 9 dicembre 2021
- Categoria
- Sfruttamento di massa di una vulnerabilità
- Causa
- Zero-day
- Attore
- Non identificato. Non identificato: molti gruppi diversi
- Scenari di danno
- Ripristino di dati e sistemi
Le cause in breve
- Vulnerabilità sconosciuta. CVE-2021-44228 colpiva le versioni di Log4j dalla 2.0-beta9 alla 2.14.1; lo sfruttamento è iniziato intorno al 1° dicembre 2021 (CISA).
- Software nascosto. Log4j è dentro servizi, siti, applicazioni e prodotti industriali, spesso senza che l'utente lo sappia (CISA).
- Correzioni a rate. Due difetti successivi hanno costretto ad aggiornare più volte, fino alla versione 2.17.0 (CISA).
L'impatto
- L'FBI ha osservato scansioni diffuse e tentativi di installare programmi per minare criptovalute e botnet (CISA).
- La CISA ha ordinato alle amministrazioni federali di correggere subito i sistemi esposti a Internet (CISA).
- Secondo il Cyber Safety Review Board, a luglio 2022 la falla non era stata usata per attacchi «significativi» alle infrastrutture critiche (The Record).
- Costo complessivo di ricerca e correzione: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeLe spese per cercare dove si trova Log4j e verificare se è stato sfruttato rientrano nella risposta all'incidente solo se c'è un incidente o un suo sospetto fondato.
- Ripristino di dati e sistemiRispondeIl ripristino dei sistemi compromessi è coperto; il semplice aggiornamento preventivo di solito no.
- Business interruption propriaRisponde con limitiIl fermo è coperto se un attacco ha bloccato i sistemi oltre il periodo di attesa, raro in questo caso.
- Business interruption dipendente (fornitore)Risponde con limitiUn fornitore fermo per correggere Log4j può causare danni ai clienti, ma le fonti non ne riportano di rilevanti.
- EstorsioneDipende dal wordingSolo chi ha subito un ransomware entrato da Log4Shell ha una richiesta di riscatto.
- Notifica e responsabilità privacyDipende dal wordingDipende dal singolo caso: le fonti non riportano furti di dati personali su larga scala.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiLe richieste di terzi sono possibili per un fornitore che non ha corretto, ma le fonti non ne riportano.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Spese preventive. Aggiornare i sistemi prima di un attacco è un costo di gestione, non un sinistro.
- Infrastrutture e vulnerabilità diffuse. Alcuni assicuratori hanno introdotto esclusioni o sottolimiti per gli eventi «generalizzati» come questo.
- Aggiornamenti. Le polizze con requisiti di correzione possono limitare i sinistri su sistemi rimasti scoperti a lungo.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Pochi sinistri gravi noti, ma un enorme lavoro di ricerca e correzione in quasi tutte le organizzazioni.
Segnale di cumulo per il portafoglio.
Cumulo da componente diffuso: la stessa libreria si trova nei sistemi di quasi tutto il portafoglio.