Ozbiljan propust otkriven u softveru koji se masovno koristi praktično otključava sve naše podatke sajber kriminalcima. Mnogi softver inženjeri provešće predstojeće praznike popravljajući ga jer bi potencijalna šteta za kompanije i korisnike širom sveta mogla da bude nesaglediva. Najgore od svega je koliko je upad na server jednostavan.
Radi se o izuzetno opasnom bezbednosnom propustu u jednom delu koda koji je javno dostupan svim java programerima. Taj deo koda tj. “klasa” pod imenom “Log4j” je napisan sa ciljem da se prati rad softvera.
Ispostavilo se da hakeri lako mogu da preuzmu kontolu nad celim serverom ukoliko je na njemu instaliran softver koji koristi “Log4j” klasu za evidenciju aktivnosti, a takvih softvera ima zaista mnogo.
Sve što haker treba da uradi je da podigne server koji će biti javno dostupan na internetu, da na njega instalira zlonamerni softver tj. virus i pripremi ga za dalje širenje, te da potom sastavi tekst sa adresom do virusa.
Haker onda nalazi način da tekst sa tom adresom virusa zabeleži na serveru koji želi da napadne.
Pitate se kako? – Vrlo lako, mnogi sajtovi prave evidenciju šta su posetioci tog sajta pretraživali, što znači da je dovoljno da haker uđe na sajt koji je podložan ovoj vrsti napada i da u polje za običnu pretragu, što svi koristimo, umesto nekih ključnih reči unese tekst sa adresom do virusa.
Onog momenta kada klasa “Log4j” evidentira tu pretragu, server je praktično zaražen jer ta adresa nije samo upisana u evidenciju korisničkih pretraga, nego je “Log4j” klasa posetila tu adresu, preuzela virus i potom ga pokrenula na istom serveru na kom je i sajt.
Upravo u tome i jeste najveći problem. Mnogi programeri nisu znali da “Log4j” ima tu bezbednosnu manu.
To praktično znači da hakeri za samo nekoliko minuta mogu da izvuku privatne podatke miliona korisnika sa tog servera uključujući i njihove podatke o platnim karticama ako je internet prodavnica u pitanju.
A koliko je lako ovo izvršiti govori činjenica da su deca koristila ovu vrstu napada da bi sebi obezbedila dodatke u igricama koje bi inače morala da se plate. Sad zamislite isto to samo sa pravom robom.
Programeri su se rado odlučivali baš za “Log4j” klasu, jer je besplatna za korišćenje i redistribuciju, što smanjuje troškove same izrade softvera.
Upravo tu klasu su koristile mnoge svetske kompanije u svojim softverima čime su narušile sopstvenu bezbednost.
Ispostavilo se da su ovoj vrsti napada podložni i pojedini proizvodi najvećih svetskih kompacija kao što su “Cisko”, “Majkrosoft”, “Amazon” i mnogi drugi.
Američka agencija za visokotehnološki kriminal objavila je detaljna uputstva šta programeri treba da urade da bi zaštitili server od ove vrste napada. Neki su to već primenili, ali mnogi još nisu.
Sad je pitanje ko je brži. Programeri koji rade na zaštiti softvera ili hakeri koji već nekoliko dana koriste ovu metodu za ulazak u razne sisteme širom sveta.
