Connectez-vous avec nous

Internet

Des experts en sécurité informatique se démènent pour corriger la «vulnérabilité de la décennie»

Crédit : CC0 Domaine Public

Les criminels, les cyberespions et les pirates du monde entier lancent des milliers de tentatives chaque heure pour exploiter une faille dans un logiciel de journalisation largement utilisé alors que les experts en cybersécurité se démènent pour combler la faille et empêcher les attaques catastrophiques.

Début décembre, un chercheur en sécurité du détaillant en ligne chinois Alibaba a découvert et signalé la faille logicielle d’un outil largement utilisé appelé log4j. L’outil open source est une bibliothèque Java développée par Apache que les développeurs de logiciels utilisent pour suivre l’activité au sein d’une application.

Chaque fois que quelqu’un sur Internet se connecte à un site, à un fournisseur de services cloud ou à d’autres, l’entreprise qui gère le site ou le service capture des données sur l’activité et les stocke dans un journal. Les pirates tentent maintenant de pénétrer dans ces journaux et de lancer des attaques.

« Nous avons ce que j’appelle un triple problème ici », a déclaré Steve Povolny, ingénieur principal et responsable de la recherche avancée sur les menaces chez McAfee Enterprise. « La simplicité de l’attaque, l’omniprésence de la base installée vulnérable et la grande disponibilité du code d’exploitation se combinent vraiment pour en faire… peut-être la vulnérabilité de la décennie. »

Bien qu’Apache ait proposé un correctif pour corriger la faille, les entreprises et les agences gouvernementales utilisent de nombreuses versions de l’outil log4j et tentent de déterminer quel correctif fonctionne avec quelle version, a déclaré Povolny. Mais à la fin de la semaine dernière, des chercheurs en sécurité ont identifié qu’un correctif connu sous le nom de version 2.16 « résout efficacement le problème », a-t-il déclaré.

Néanmoins, alors que les entreprises et les agences gouvernementales du monde entier tentent de résoudre le problème, il ne fait « aucun doute que cela a été et continuera à être davantage militarisé », a déclaré Povolny.

La vulnérabilité généralisée marque la fin d’une année marquée par d’importantes attaques de cyber et de ransomware. Début 2021, le monde a commencé à faire face aux conséquences d’une attaque russe sophistiquée contre SolarWinds, une société de gestion de logiciels, découverte en décembre 2019. L’attaque a exposé des dizaines d’agences américaines et des milliers d’entreprises à une exploitation potentielle par les services de renseignement russes. prestations de service.

Dans les mois qui ont suivi, des attaques de ransomware ont paralysé l’opérateur de pipeline Colonial Pipeline et le principal transformateur alimentaire JBS Foods, ainsi que des universités, des villes et des villages.

Signalement obligatoire des piratages

L’administration Biden a lancé une série d’efforts pour freiner la propagation des ransomwares, et le Congrès a débattu de l’opportunité d’exiger le signalement des attaques ainsi que l’adoption obligatoire de mesures de cyber-hygiène de base par les entreprises privées et les agences gouvernementales.

La vulnérabilité log4J ouvre un nouveau front dans les cyberattaques mondiales, et les experts craignent que les criminels et autres ne lancent un soi-disant ver, qui est un code logiciel malveillant qui se propage et se propage à travers le monde, a déclaré Povolny.

À la fin de la semaine dernière, Microsoft a averti qu’il assistait à une « analyse de masse » des systèmes informatiques, potentiellement par des attaquants ainsi que des chercheurs en sécurité essayant de devancer les méchants.

Alors que les chercheurs en sécurité tentent d’identifier les systèmes qui ont été compromis, les attaquants gardent une longueur d’avance en masquant leurs attaques, a déclaré Microsoft dans un article de blog.

Microsoft a déclaré que les attaquants avaient lancé un ransomware nommé Khonsari qui cible les serveurs exécutant le jeu vidéo Minecraft, et a conseillé aux joueurs de télécharger la dernière version du logiciel de jeu pour combler la faille.

Des pirates informatiques soutenus par des États de Chine, d’Iran, de Corée du Nord et de Turquie tentent d’exploiter la faille log4j, a déclaré Microsoft.

Un groupe de pirates iraniens connu sous le nom de Phosphorus « a déployé un ransomware, acquis et modifié l’exploit log4j », a déclaré Microsoft. » Le groupe est susceptible d’avoir « opérationnalisé ces modifications ».

Un groupe de piratage chinois appelé Hafnium « a été observé utilisant la vulnérabilité pour attaquer l’infrastructure de virtualisation pour étendre son ciblage typique », a déclaré Microsoft.

La cybersécurité et la sécurité des infrastructures ont émis à la fin de la semaine dernière une ordonnance d’urgence demandant à toutes les agences fédérales de corriger « immédiatement » les vulnérabilités de log4j.

« Les vulnérabilités log4j posent un risque inacceptable pour la sécurité du réseau fédéral », a déclaré la directrice de la CISA, Jen Easterly, dans un communiqué. « La CISA a publié cette directive d’urgence pour inciter les agences civiles fédérales à prendre des mesures dès maintenant pour protéger leurs réseaux, en se concentrant d’abord sur les appareils connectés à Internet qui présentent le plus grand risque immédiat. »

Povolny a comparé la précipitation pour corriger la faille logicielle à la volonté de vacciner les gens contre COVID-19.

« Si vous obtenez un pourcentage suffisamment élevé de personnes vaccinées ou corrigées contre » la faille log4j « , vous avez une probabilité beaucoup plus faible d’impact qu’un virus soit répliqué ou qu’un ver puisse se propager ici », a déclaré Povolny.


EXPLICATION : La faille de sécurité qui a fait paniquer Internet


© 2021 CQ-Roll Call, Inc., Tous droits réservés.
Distribué par Tribune Content Agency, LLC.

Citation: Des experts en sécurité informatique se démènent pour corriger la « vulnérabilité de la décennie » (2021, 22 décembre) récupéré le 22 décembre 2021 sur https://techxplore.com/news/2021-12-experts-scramble-vulnerability-decade.html

Ce document est soumis au droit d’auteur. En dehors de toute utilisation équitable à des fins d’étude ou de recherche privée, aucune partie ne peut être reproduite sans l’autorisation écrite. Le contenu est fourni seulement pour information.


Les offres de produits Hi-tech en rapport avec cet article

Continuer la lecture
Cliquez pour commenter

Laissez un commentaire

Votre adresse e-mail ne sera pas publiée.

Smartphones et Tablettes1 heure ago

Xiaomi annonce officiellement son partenariat avec Leica, le premier téléphone développé conjointement arrive en juillet

Ordinateurs et informatique1 heure ago

Les meilleurs choix pour tous les prix et tous les joueurs ont été testés et approuvés.

Internet1 heure ago

Qu’est-ce qu’un bot ? Tout ce que vous devez savoir

Gadgets1 heure ago

Apple améliore l’accessibilité alors que les tablettes Fire d’Amazon voient leur prix augmenter

Test et Avis Accessoires21 heures ago

Notre étui transparent préféré pour iPhone SE bénéficie d’une réduction de 30 % – Hitech-world

Test et Avis Streaming21 heures ago

Essayez un mois du plus puissant service de jeux en nuage pour 20 $ – Hitech-world

Test et Avis Gaming21 heures ago

Comment essayer gratuitement les nouveaux cours de « Mario Kart 8 » – Hitech-world

Test et Avis Ordinateurs21 heures ago

Quelqu’un a transformé cette cassette de Raspberry Pi en un émulateur de ZX Spectrum – Hitech-world

Smartphones et Tablettes1 jour ago

Les nouvelles tablettes Fire 7 d’Amazon sont enfin équipées de l’USB-C, mais leur prix augmente.

Ordinateurs et informatique1 jour ago

Les écouteurs et le projecteur de Sony reçoivent cinq étoiles

Internet1 jour ago

Les « bots » au cœur de la polémique sur le rachat de Twitter

Gadgets1 jour ago

Pendant que Musk tweete, ses conseillers s’efforcent de maintenir l’accord sur Twitter sur les rails.

Test et Avis Streaming2 jours ago

(Mise à jour) HBO Max et Discovery+ seront combinés plus tard cette année – Hitech-world

Test et Avis Wearables2 jours ago

Wyze lance de nouvelles versions colorées de sa smartwatch de 47 mm – Hitech-world

Tests et Avis Smartphones2 jours ago

Peut-on transférer son numéro de téléphone vers un nouvel opérateur ? – Hitech-world

Test et Avis Wearables3 semaines ago

Obtenez la balance intelligente à prix réduit de Withings et commencez à suivre votre composition corporelle – Hitech-world

Test et Avis Domotique4 semaines ago

Tous les produits Wyze qui coûtent plus cher maintenant (jusqu’à présent) – Hitech-world

Internet3 semaines ago

Un chercheur crée un logiciel gratuit de modération des commentaires pour YouTube

Internet2 semaines ago

Les géants américains de la technologie cherchent à se débarrasser des mots de passe

Test et Avis Wearables2 semaines ago

La bague Movano vise à surveiller les maladies chroniques et à suivre d’autres paramètres – Hitech-world

Gadgets4 semaines ago

Pourquoi n’y a-t-il pas d’Uber pour la musique en direct ?

Test et Avis Gaming2 semaines ago

Vous pouvez maintenant essayer NVIDIA Cloud Gaming sans compte Steam ou Epic – Hitech-world

Ordinateurs et informatique4 semaines ago

Date de sortie, prix, spécifications et design

Internet3 semaines ago

Qu’est-ce qu’un logiciel malveillant ? | Critiques de confiance

Test et Avis Audio4 semaines ago

55 dollars seulement pour un son et une autonomie exceptionnels – Hitech-world

Ordinateurs et informatique4 semaines ago

Achetez l’ordinateur portable de jeu HP Pavilion pour moins de 600 € grâce à cette offre.

Ordinateurs et informatique4 semaines ago

Apple travaille peut-être déjà sur une puce M3 pour l’iMac

Test et Avis Gaming3 semaines ago

La Xbox dans votre poche – Hitech-world

Internet2 semaines ago

Perfect Privacy VPN Review | Trusted Reviews

Test et Avis Accessoires3 semaines ago

Solide, magnifique et ajustable – Hitech-world

ARTICLES POPULAIRES