Jak wskazują eksperci ds. cyberbezpieczeństwa luka w Log4j nadal znajduje się w centrum zainteresowania cyberprzestępców. Od początku ogłoszenia podatności systemy bezpieczeństwa Check Point Software zablokowały ponad 4,3 mln prób jej wykorzystania. Luce przypisany został najwyższy poziom ryzyka m.in. za sprawą jej powszechności. Z pakietów Apache Log4j korzystają największe przedsiębiorstwa na świecie – m.in. Amazon, Apple czy Microsoft.

Z danych Check Point Research wynika, że cyberprzestępcy starali się wykorzystać podatność w około 48 proc. firm i organizacji na świecie. Szacuje się, że w Polsce złośliwe działania wykorzystujące lukę oznaczoną jako CVE-2021-44228 doświadczyło nawet 53 proc. organizacji.

Hakerzy w swoich atakach wykorzystują zwykle lukę w Log4j do pobrania złośliwego trojana, który uruchamia pobranie pliku .exe, instalującego cryptominery, czyli programy do kopania kryptowalut. Gdy cryptominer zostanie zainstalowany, zaczyna wykorzystywać zasoby komputerów w sieci do wydobywania kryptowaluty dla zysku atakujących. Wszystko to odbywa się bez wiedzy ofiar. Co więcej wszystkie istotne funkcje i nazwy plików są zamaskowane, aby uniknąć wykrycia przez mechanizmy analizy statycznej podstawowych antywirusów.

- Po opublikowaniu eksploracji nastąpiło przeskanowanie Internetu przez cyberprzestępców. Firmy, które nie miały zaimplementowane zaawansowane środki ochrony, prawdopodobnie zostały już przeskanowane przez złośliwych cyberprzestępców. To bez wątpienia jedna z najpoważniejszych luk internetowych w ostatnich latach. W pewnych momentach byliśmy świadkami przeszło 100 włamań związanych z luką Log4j na minutę. - mówi Lotem Finkelstein, szef działu wywiadu zagrożeń w Check Point Software.

Apache Log4j jest najpopularniejszą biblioteką logowania Java z ponad 400 000 pobrań z jej projektu na GitHubie. Jest wykorzystywana przez niezliczoną liczbę firm na całym świecie, umożliwiając logowanie w szerokim zestawie popularnych aplikacji. Wykorzystanie luki jest – zdaniem specjalistów - relatywnie proste i pozwala na przejęcie kontroli nad serwerami internetowymi opartymi na Javie oraz przeprowadzenie ataku zdalnego wykonania kodu.