Spring4Shell misbruikt in campagne om Mirai te pushen
Op Java gebaseerde implementaties lijken het geschenk te zijn dat blijft geven. Met incidentele meldingen van voortdurende pogingen om Log4j te exploiteren, de kwetsbaarheid waar iedereen in de winter aan dacht, komt er nu nieuws binnen voor actieve exploitatie van de nieuwste significante kwetsbaarheid die is ontdekt in de Spring Core Java-bibliotheek.
Bewapende Mirai-malware gebruikt in campagne
De aanvalscampagne met Spring4Shell wordt gevolgd door twee afzonderlijke beveiligingsonderzoeksbureaus. Nu zien de onderzoeksteams een oude bekende die wordt gebruikt om de Spring4Shell-kwetsbaarheid te misbruiken.
Beide beveiligingsbedrijven merkten op dat een bewapende versie van de Mirai-malware, vaak geassocieerd met botnetgebruik, werd gebruikt om actief misbruik te maken van de Spring4Shell-fout.
Bij het onderzoeken van systemen die kwetsbaar zijn voor de nieuwe campagne die Mirai ertoe aanzet Spring4Shell te misbruiken, ontdekten onderzoekers een aantal eigenschappen die werden aangetroffen in systemen die vatbaar zijn voor uitbuiting. Deze omvatten de aanwezigheid van het Spring-framework, het uitvoeren van patches vóór 5.2.20 en de JDK die is bijgewerkt naar versie 9 of nieuwer. Het is bekend dat de Spring4Shell-fout geen invloed heeft op platforms met oudere Java Development Kit, zoals JDK 8.
Apache Tomcat en specifieke configuraties van Spring-parameterbinding, ingesteld om een niet-basisparametertype te gebruiken, behoren ook tot de kenmerken die specifiek zijn voor kwetsbare systemen.
Eerste pogingen om de fout te misbruiken en de Mirai-datum naar eind maart te schuiven
Door onderzoekers bediende honeypots ontdekten de eerste pogingen tot inbraak op de laatste dag van maart 2022.
De aanvallen waarbij Mirai-malware met wapens werd ingezet op systemen die kwetsbaar zijn voor Spring4Shell, waren voornamelijk gericht op doelen in Singapore en de regio.
Onderzoekers verwachten dat aanvallen die proberen misbruik te maken van de Spring4Shell-kwetsbaarheid de komende maanden alleen maar in volume zullen toenemen, aangezien de fout goed is gedocumenteerd en de details ook beschikbaar zijn voor dreigingsactoren. Patchen blijft even essentieel als altijd, maar net als bij Log4j is het probleem hier niet het patchen, maar het grote aantal systemen waarop kwetsbare code wordt uitgevoerd. In die zin is zelfs 1% van de miljoenen niet-gepatchte systemen een aanzienlijk aantal potentiële doelen voor de exploit.