Mobile-Menu

Künstliche Intelligenz macht Netzwerksicherheit handhabbar

Die Grundlagen eines Log4j-Angriffs: Auch das Ausnutzen der Log4j-Lücke hinterlässt Spuren im Datenverkehr. Ein Angreifer missbraucht das normale Vorgehen der Log4j-Protokollierungsbibliothek, Anfragen auf ein System zu protokollieren, für seinen Zweck, um ausführbaren bösartigen Code zunächst in den Webserver zu implementieren. Bei jeder Anfrage von einem Windows-System auf einen Webserver liest die Log4j-Funktion auf dem angefragten Webserver eine Variable, kann sie auflösen und den so gewonnen Wert als Objekt im Speicher der Login-Protokolldatei einfügen. Angreifer können in dem dazugehörigen String anstelle des Nutzernamens einen eigenen Java Naming and Directory Interface (JNDI) Lookup in die Log-Datei einfügen, wobei sie auf einen Server unter ihrer Kontrolle zugreift. Der Angreifer leitet dafür die Antwort des angefragten Systems auf seinen bösartigen Command-and-Control-Server um und schickt im Gegenzug als Auflösen der Variable einen ausführbaren Payload – einen Code und damit Malware – auf das angefragte System. Die Kommunikation zwischen anfragendem System, angefragtem Webserver und bösartigem C&C-Server ist für eine NDR-Analyse sichtbar. (Bild: Bitdefender Labs) arrow forward Image Zoom
Die Grundlagen eines Log4j-Angriffs: Auch das Ausnutzen der Log4j-Lücke hinterlässt Spuren im Datenverkehr. Ein Angreifer missbraucht das normale Vorgehen der Log4j-Protokollierungsbibliothek, Anfragen auf ein System zu protokollieren, für seinen Zweck, um ausführbaren bösartigen Code zunächst in den Webserver zu implementieren. Bei jeder Anfrage von einem Windows-System auf einen Webserver liest die Log4j-Funktion auf dem angefragten Webserver eine Variable, kann sie auflösen und den so gewonnen Wert als Objekt im Speicher der Login-Protokolldatei einfügen. Angreifer können in dem dazugehörigen String anstelle des Nutzernamens einen eigenen Java Naming and Directory Interface (JNDI) Lookup in die Log-Datei einfügen, wobei sie auf einen Server unter ihrer Kontrolle zugreift. Der Angreifer leitet dafür die Antwort des angefragten Systems auf seinen bösartigen Command-and-Control-Server um und schickt im Gegenzug als Auflösen der Variable einen ausführbaren Payload – einen Code und damit Malware – auf das angefragte System. Die Kommunikation zwischen anfragendem System, angefragtem Webserver und bösartigem C&C-Server ist für eine NDR-Analyse sichtbar. (Bild: Bitdefender Labs)
1/4
Zurück zum Artikel