No puede hacer nada para detener los ataques de día cero de Log4j usted mismo

También conocida como el hack de Log4Shell, la vulnerabilidad de seguridad de 0 días de Log4j es el peor hack en la historia de Internet. Todas las empresas de Internet se han esforzado por solucionar el problema y evitar que los piratas informáticos se aprovechen de él. Pero las empresas necesitarán tiempo para solucionar el problema. Los investigadores de seguridad están viendo miles de intentos de aprovechar el hack de Log4j para ingresar a los sistemas informáticos. Y lo peor de este truco es que podría verse afectado incluso si los piratas informáticos no lo apuntan explícitamente. Y, lo peor de todo, no hay nada que pueda hacer para protegerse.

Con Pegasus, Apple emitió un parche que solucionó el ataque de iPhone de día 0 que permitía a los estados-nación espiar objetivos. Solo tenías que instalar la actualización de iOS y iPadOS. Cuando las vulnerabilidades del chip Spectre surgieron hace unos años, dependía de los fabricantes de chips emitir correcciones, así como de las empresas que ejecutan sistemas operativos en ellos.

Pero con el hack de Log4j, no hay una solución única para iPhone, Android, Windows o Mac que parchee la vulnerabilidad y alivie sus preocupaciones.

El hack de Log4j es una pesadilla de seguridad

Como ya vimos, el hack puede afectar algo tan trivial como el juego Minecraft de Microsoft. Los piratas informáticos enviaron algunas líneas de texto a través de un sistema de chat en la aplicación para hacerse cargo de las computadoras. Y Microsoft corrigió la falla.

Pero cualquier empresa que ofrezca servicios de Internet y productos conectados a Internet está en riesgo. Cada empresa tiene que actualizar sus servidores para que los atacantes no puedan emplear el truco Log4j.

El problema de la vulnerabilidad permite a los piratas informáticos eludir las restricciones e ingresar a un sistema informático sin requerir una contraseña. Desde allí, pueden ejecutar código de forma remota que les permitirá espiar a esas empresas, robar información o dinero.

Los clientes de estas empresas pueden verse perjudicados, eso siempre es un riesgo con este tipo de ataques. Pero los usuarios finales no pueden parchear el hack de Log4j ellos mismos.

Con el truco Log4j no es cuestión de hacer clic en el enlace equivocado y descargar el programa malicioso en su computadora. Está todo fuera de tus manos. Por muy conocedor de Internet que sea, no hay forma de evitar que un pirata informático ataque a una de las empresas de Internet de las que es cliente.

Los atacantes están haciendo más de cien intentos por minuto para explotar la vulnerabilidad de la utilidad de registro de Java, según los investigadores de Check Point que observan el hack de Log4j. Sophos detectó cientos de miles de intentos en los días desde que se reveló Log4Shell.

Un diagrama que explica el truco de Log4j. Fuente de la imagen: Sophos

Qué puede hacer para solucionar el problema

Microsoft ya ha observado ataques que involucran la instalación de malware de minería de criptomonedas en servidores. Por separado, algunos piratas informáticos intentaron instalar Cobalt Strike en sistemas vulnerables, lo que podría llevar a que los piratas informáticos robaran nombres de usuario y contraseñas. La compañía también detalló las características de Microsoft 365 Defender que pueden proteger contra el hack de Log4j. Pero eso podría no ser lo suficientemente bueno para la mayoría de las personas; después de todo, esto solo cubre Windows y Linux. Y sus equipos de TI que deberían emplear arreglos en servidores y sistemas informáticos.

Lo que pueden hacer los usuarios finales es prestar atención a sus propiedades de Internet. Debe seguir utilizando contraseñas sólidas y únicas para sus servicios. Agregue autenticación de dos factores a las aplicaciones y correos electrónicos confidenciales que rigen el acceso a las transacciones financieras en línea. Esté atento a la actividad sospechosa en esas cuentas confidenciales, ya sea correo electrónico o aplicaciones de banca desde casa.

También puede consultar con el departamento de TI de su organización y asegurarse de que sepan qué es el truco de Log4j y que debe solucionarse. Del mismo modo, puede ponerse en contacto con otras empresas de tecnología para ver qué están haciendo para protegerlo. Por otro lado, presionar a los representantes de los clientes para obtener respuestas que tal vez no tengan no ayudará.

Mientras lo hace, actualice todo el software de sus dispositivos a las últimas versiones disponibles. Eso incluye sistemas operativos y aplicaciones. A medida que estas empresas implementen correcciones de Log4j, querrá asegurarse de obtenerlas lo más rápido posible.

Los investigadores de seguridad dijeron hace unos días que tomaría tiempo ver el daño que causarán los ataques Log4Shell. Eso sigue siendo cierto. Y, mientras esperamos, probablemente obtengamos más información sobre cómo protegernos contra el hack de Log4j.