稿源：TheHackerNews、中文化：游侠安全网
美国网络安全和基础设施安全局 (CISA) 与海岸警卫队网络司令部 (CGCYBER) 周四发布了一份联合咨询警告，称威胁参与者继续尝试利用 VMware Horizon 服务器中的 Log4Shell 漏洞来破坏目标网络。
“自 2021 年 12 月以来，多个威胁攻击者团体在未打补丁的、面向公众的 VMware Horizon 和 [Unified Access Gateway] 服务器上利用了 Log4Shell，”这些机构表示。 “作为这种利用的一部分，可疑的 APT 攻击者在受感染的系统上植入了加载程序恶意软件，该系统具有嵌入式可执行文件，可实现远程命令和控制 (C2)。”
在一种情况下，据说攻击者能够在受害网络内部横向移动，获得对灾难恢复网络的访问权限，并收集和泄露敏感的执法数据。
Log4Shell 被跟踪为 CVE-2021-44228（CVSS 评分：10.0），是一个远程代码执行漏洞，影响广泛的消费者和企业服务、网站、应用程序和其他产品使用的 Apache Log4j 日志库。
成功利用该漏洞可以使攻击者向受影响的系统发送特制命令，使攻击者能够执行恶意代码并控制目标。
根据作为两次事件响应活动的一部分收集的信息，这些机构表示，攻击者利用该漏洞利用来释放恶意有效负载，包括 PowerShell 脚本和一个名为“hmsvc.exe”的远程访问工具，该工具具有记录击键和部署其他功能的功能恶意软件。
“该恶意软件可以充当 C2 隧道代理，允许远程操作员转向其他系统并进一步进入网络，”这些机构指出，并补充说它还提供“通过目标 Windows 系统的图形用户界面 (GUI) 访问桌面。”
在第二个组织的生产环境中观察到的 PowerShell 脚本促进了横向移动，使 APT 参与者能够植入包含可执行文件的加载程序恶意软件，这些可执行文件包括远程监控系统桌面、获得反向 shell 访问、泄露数据以及上传和执行下一阶段的二进制文件。
此外，敌对组织利用 CVE-2022-22954（VMware Workspace ONE Access and Identity Manager 中的一个远程代码执行漏洞，该漏洞于 2022 年 4 月曝光）植入了 Dingo J-spy web shell。
即使在 6 个多月后仍在进行的与 Log4Shell 相关的活动表明该漏洞引起了攻击者的高度兴趣，包括国家资助的高级持续威胁 (APT) 参与者，他们机会主义地针对未修补的服务器以获得后续活动的初步立足点.
根据网络安全公司 ExtraHop 的说法，Log4j 漏洞一直受到无情的扫描尝试，金融和医疗保健行业正在成为潜在攻击的巨大市场。
“Log4j 将继续存在，我们将看到攻击者一次又一次地利用它，”IBM 拥有的 Randori 在 2022 年 4 月的一份报告中表示。 “Log4j 深埋在共享第三方代码的层层和层中，使我们得出的结论是，我们将看到 Log4j 漏洞的实例在使用大量开源的组织使用的服务中被利用。”
