Especialistas globais em tecnologia correm para consertar falha de software “totalmente armada”

Uma vulnerabilidade de software explorada no jogo online Minecraft está emergindo rapidamente como uma grande ameaça aos dispositivos conectados à Internet em todo o mundo.

“A Internet está pegando fogo agora”, disse Adam Meyers, vice-presidente sênior de inteligência da empresa de segurança cibernética Crowdstrike.

“As pessoas estão lutando para corrigir e há script kiddies e todos os tipos de pessoas lutando para explorá-lo.”

Ele disse na sexta-feira que nas 12 horas desde que a existência do bug foi divulgada, ele foi “totalmente transformado em arma”, o que significa que malfeitores desenvolveram e distribuíram ferramentas para explorá-lo.

A falha pode ser a pior vulnerabilidade de computador descoberta em anos. Ele abre uma lacuna no código de software que é onipresente em servidores em nuvem e softwares corporativos usados ​​na indústria e no governo.

Ele pode permitir que criminosos ou espiões saquem dados valiosos, plantem malware ou apaguem informações cruciais e muito mais.

“Seria difícil pensar em uma empresa que não corresse riscos”, disse Joe Sullivan, diretor de segurança da Cloudflare, cuja infraestrutura online protege os sites de agentes mal-intencionados.

Incontáveis ​​milhões de servidores o têm instalado, e especialistas dizem que a precipitação só será conhecida por vários dias.

Amit Yoran, executivo-chefe da empresa de segurança cibernética Tenable, chamou-a de “a maior e mais crítica vulnerabilidade da última década” – e possivelmente a maior da história da computação moderna.

A vulnerabilidade, apelidada de Log4Shell, foi avaliada em 10 em uma escala de um a 10 pela Apache Software Foundation, que supervisiona o desenvolvimento do software.

A equipe de resposta a emergências de computador da Nova Zelândia foi uma das primeiras a relatar que a falha estava sendo “ativamente explorada”, horas depois de ter sido relatada publicamente na quinta-feira e um patch lançado.

A vulnerabilidade, localizada no software Apache de código aberto usado para rodar sites e outros serviços da web, foi descoberta em 24 de novembro pela gigante chinesa de tecnologia Alibaba, disse a fundação.

🚨 Novo @CrowdStrike blog sobre a vulnerabilidade Log4j2 CVE-2021-44228 (“Log4Shell”) de @Adam_Cyber. CrowdStrike Falcon OverWatch confirma as tentativas ativas e contínuas de explorar o utilitário comumente usado em servidores da Web Apache.

Obtenha o último: https://t.co/FCVyepJ2PJ

– CrowdStrike (@CrowdStrike) 10 de dezembro de 2021

Encontrar e corrigir o software pode ser uma tarefa complicada. Embora a maioria das organizações e provedores de nuvem devam ser capazes de atualizar seus servidores web facilmente, o mesmo software Apache também é frequentemente incorporado em programas de terceiros que geralmente só podem ser atualizados por seus proprietários.

Yoran disse que as organizações precisam presumir que foram comprometidas e agir rapidamente.

A exploração da falha foi aparentemente descoberta pela primeira vez no Minecraft, um jogo online extremamente popular entre as crianças e de propriedade da Microsoft.

Meyers e o especialista em segurança Marcus Hutchins disseram que os usuários do Minecraft já o usavam para executar programas nos computadores de outros usuários colando uma mensagem curta em uma caixa de bate-papo.

A Microsoft disse que lançou uma atualização de software para usuários do Minecraft, acrescentando: “Os clientes que aplicam a correção estão protegidos”.

Os pesquisadores relataram encontrar evidências de que a vulnerabilidade pode ser explorada em servidores executados por empresas como Apple, Amazon, Twitter e Cloudflare.

Sullivan disse que não há indícios de que os servidores de sua empresa tenham sido comprometidos.