Log4Shell 是 Java 日誌元件 Apache Log4J 中的一個遠端程式碼執行漏洞，被廣為使用在數百個軟體產品中。它於 2021 年 12 月被發現並進行修補。

Sophos 資深安全研究員 Sean Gallagher 表示：「廣為使用的應用程式，例如面對網際網路且需要手動更新的 VMware Horizon，特別容易受到利用。Sophos 偵測發現了一波從 1 月份開始鎖定 Horizon 伺服器的攻擊，這些攻擊會向未經修補的伺服器植入一系列後門和加密挖礦程式，以及收集裝備資訊的指令碼。Sophos 認為，部分後門可能是由初始存取代理植入的，因為他們想要持續從遠端存取這些有價值的目標，然後將其出售給其他攻擊者，例如勒索軟體操作者。」

Sophos 偵測到使用 Log4Shell 鎖定易受攻擊 Horizon 伺服器的裝載包括：

．2 個合法的遠端監控和管理工具 Atera 代理程式和 Splashtop Streamer，它們很可能被惡意用作後門
．惡意的 Sliver 後門程式
．加密挖礦程式 z0Miner、JavaX 挖礦程式、Jin 和 Mimu
．幾個會收集裝置和備份資訊的 PowerShell 反向命令介面

Sophos 的分析顯示，Sliver 有時會與 Atera 和 PowerShell 分析指令碼一起被植入，用於遞送 XMrig Monero 挖礦殭屍網路的 Jin 和 Mimu 變種。

據 Sophos 指出，攻擊者正在使用幾種不同的方法感染目標。雖然早期一些攻擊使用 Cobalt Strike 來暫存和執行加密挖礦程式的裝載，但從 2022 年 1 月中旬開始的最大一波攻擊，則是直接從 VMware Horizon 伺服器的 Apache Tomcat 元件執行加密挖礦程式的安裝程序指令碼。這波攻擊仍在持續中。

Gallagher 表示：「Sophos 的調查結果表明，多個攻擊者正在進行這些攻擊，因此最重要的保護步驟是使用已修補 Log4J 版本的軟體升級所有的裝置和應用程式。包括 VMWare Horizon 的已修補版本，如果組織有在網路中使用這個應用程式的話。

「Log4J 被廣為安裝在數百個軟體產品中，而且許多組織可能沒有意識到這個潛伏在基礎架構中的漏洞，尤其是商用、開放原始碼或缺乏一般安全支援的自訂軟體。雖然修補很重要，但如果攻擊者已經能夠在網路中安裝網頁命令介面或後門，那麼這些保護還不夠。進行深度防禦，並在發現挖礦程式和其他異常活動時採取行動，對於避免成為攻擊受害者非常重要。」

如需更多資訊，請參見 Sophos News 上的文章《大量挖礦機器人和後門利用 Log4J 攻擊 VMware Horizon 伺服器》。

Sophos 密切監控與 Log4Shell 漏洞相關的攻擊活動，並發布了許多深入的技術和諮詢報告，包括《Log4Shell 地獄──漏洞爆發剖析》、《Log4Shell 回應和風險減緩建議》、《程式碼揭密：Log4Shell 漏洞利用的原理》和《Log4Shell：不是大規模攻擊卻讓人無法喘息，發生什麼事？》

- 新聞稿有效日期，至2022/04/29為止

上一篇：疫情升溫與適逢清明連假期，電商業恐再度引爆惡意殭屍網路攻擊激增
下一篇：Microchip 支援認證的 Qi 1.3 無線充電