全球數億台電腦或因某軟件漏洞而被黑客攻擊,美國國土安全部網絡安全暨基礎安全局(CISA)的負責人表示,這或是她職業生涯中見過的「最嚴重的(安全)漏洞」。

目前,一個波及全球、但是入侵門檻極低的軟件漏洞正在引發互聯網混亂,用戶們正在急於修補,多國發出警告,而黑客們也在爭先恐後地利用這一漏洞,其中以中共黑客尤為猖獗。

Log4J漏洞引發全球風險 多國發出警告

該漏洞稱為Log4J,是用Java編程語言編寫的,可幫助軟件開發人員跟蹤程序中的更改部份,這個代碼被數百萬提供在線服務的電腦使用,由於Log4j太普及,影響範圍太廣泛,短時間難以徹底解決,被業內稱為「無處不在的零日漏洞」。

一些世界上最大的科技公司,如蘋果、Tesla等都使用該軟件來記錄應用程式的信息,目前亞馬遜網絡服務和IBM等科技巨頭已採取行動解決漏洞。

上周五,美國政府向私營部門發出了關於Log4j漏洞的風險警告。紐西蘭電腦緊急響應小組(CERT)、德國電信CERT等也發出警告。

在本周一的電話會議上,美國國土安全部網絡安全暨基礎安全局(CISA)的主任伊斯特利(Jen Easterly)表示,這或是她職業生涯多年來見過的「最嚴重的漏洞」。她與企業高管舉行了電話會議,警告黑客正在積極利用該漏洞。

路透社引用,網絡安全公司SentinelOne的首席研究員Juan Andres Guerrero-Saade說,這個漏洞是「幾乎沒有辦法應對的噩夢之一」。

雖然Log4j的製造商Apache上周五發布了對該漏洞的部份修復,但用戶需要時間來定位易受攻擊的軟件和修補,而據網絡安全公司Cloudflare說,黑客早在漏洞被公開披露之前一個多星期,就已經開始了進攻。

黑客入侵門檻低 影響範圍廣

該漏洞的缺陷是甚麼?它允許「陌生人」將活動代碼輸入到記錄中保存。然後該代碼告訴託管軟件的服務器執行一個命令,讓黑客控制。

黑客利用這個漏洞,有多麼的輕而易舉?安全公司Sonatype說,「就好像有人給你郵寄一封信,上面寫個特定地址,就打開您家中所有的門。」

而Log4J被應用得如此廣泛,Sonatype公司的安全專家Brian Fox說,在過去的四個月裏,Log4J被從最大的開源Java組件公共存儲庫中下載了8,400萬次。

迄今為止,尚未有該漏洞導致的重大破壞性網絡事件被公開記錄,但研究人員發現,企圖利用該漏洞進行間諜活動的黑客組織數量,正在驚人地增加。

另一家安全公司Check Point表示,每分鐘大約新增100次黑客攻擊。該公司表示,它在全球超過 40%的企業網絡上都看到黑客在企圖利用該漏洞。

中共黑客利用漏洞進行破壞

該漏洞最早是中國的阿里巴巴員工在11月24日發現的,隨後阿里向Apache報告Apache Log4j2遠程代碼執行漏洞,直到12月9日才公開了更多的細節。

隨著玩《我的世界》(Minecraft)遊戲的玩家使用這個漏洞來控制服務器,並在遊戲聊天中傳播這個信息,導致黑客攻擊變得更加普遍。專家表示,多個殭屍網絡,或由犯罪份子控制的電腦組,也在利用該漏洞來控制更多的軟件。

路透社報道,許多專家擔心,該漏洞或被黑客用於部署破壞加密數據的惡意軟件,就像5月份針對美國管道營運商Colonial Pipeline遭到的攻擊那樣,導致美國局部地區出現汽油短缺。

專家告訴CNN,解決這些漏洞可能需要數周時間,但中共的黑客已經在企圖破壞。網絡安全公司Mandiant的高級副總裁兼首席技術官Charles Carmakal表示,有中共政府背景的黑客已經開始利用該漏洞,但Mandiant拒絕詳細說明黑客針對的組織。

路透社報道,網絡安全公司SentinelOne的首席研究員Juan Andres Guerrero-Saade表示,他的公司也已經看到中共黑客組織開始利用該漏洞。#

------------------

負片世界見真實色彩
一起走過20年 共度艱難

✅立即支持訂閱:
https://hk.epochtimes.com/subscribe
✅直接贊助大紀元:
https://www.epochtimeshk.org/sponsors
✅成為我們的Patron:
https://www.patreon.com/epochtimeshk