STOTINE milijuna uređaja diljem svijeta moglo bi biti izloženo novootkrivenoj softverskoj ranjivosti. Visoka kiberdužnosnica administracije američkog predsjednika Joea Bidena u ponedjeljak je upozorila lidere iz velikih američkih industrija da moraju poduzeti mjere kako bi riješili jedan od najozbiljnijih nedostataka koji je vidjela u svojoj karijeri.

Dok se velike tehnološke kompanije bore obuzdati posljedice incidenta, američki dužnosnici održali su sastanak s industrijskim liderima, upozoravajući da hakeri aktivno iskorištavaju ovu ranjivost, prenosi CNN.

"Ova ranjivost jedna je od najozbiljnijih koje sam vidjela u cijeloj svojoj karijeri, ako ne i najozbiljnija. Očekujemo da će ovo iskoristiti sofisticirani akteri i imamo ograničeno vrijeme za poduzimanje potrebnih koraka kako bismo smanjili vjerojatnost štetnih incidenata", rekla je Jen Easterly, direktorica američke Agencije za kibernetičku i infrastrukturnu sigurnost (CISA).

CNN se obratio CISA-i za detalje o ovoj ranjivosti. CyberScoop, stranica s tehnološkim vijestima, prvi je izvijestio o sadržaju spomenutog sastanka. Ovo je dosad najoštrije upozorenje američkih dužnosnika o softverskoj pogrešci otkako su krajem prošlog tjedna stigle vijesti da je hakeri koriste kako bi provalili u računalne mreže organizacija. To je također test novih kanala koje su federalni dužnosnici uspostavili za suradnju s liderima industrije nakon raširenih provala koje iskorištavaju softver SolarWindsa i Microsofta, otkrivenih u prošloj godini.

Log4j

Stručnjaci su za CNN rekli da bi mogli proći tjedni da se otklone ranjivosti u sustavima i da kineski hakeri to već pokušavaju iskoristiti. Ranjivost je u softveru baziranom na Javi, poznatom kao "Log4j", koji velike organizacije, poput najvećih svjetskih tehnoloških tvrtki, koriste za bilježenje informacija u svojim aplikacijama. Tehnološki divovi, kao što su Amazon Web Services i IBM, krenuli su u rješavanje pogreške u svojim proizvodima.

Pogreška nudi hakeru relativno jednostavan način pristupa računalnom poslužitelju organizacije koju napada. Odatle bi napadač mogao smisliti druge načine pristupa sustavima na mreži organizacije. Zaklada Apache Software Foundation, koja upravlja softverom Log4j, objavila je sigurnosnu ispravku. Ali napadači su imali više od tjedan dana prednosti u iskorištavanju softverske pogreške prije nego što je ona bila javno otkrivena, smatraju u kompaniji za kibernetičku sigurnost Cloudflareu.

Organizacije su sada u utrci s vremenom kako bi otkrile postoje li i dalje računala na kojima se pokreće ranjiv softver koji je bio izložen internetu. Šefovi kibernetičke sigurnosti u američkoj vladi i industriji rade danonoćno na tom pitanju.

"Morat ćemo se pobrinuti da shvatimo rizik od ovog koda u cijeloj kritičnoj infrastrukturi SAD-a", rekao je Jay Gazlay, drugi dužnosnik CISA-e.

"Ovo će biti višetjedni proces"

Hakeri povezani s kineskom vladom već su počeli koristiti ovu ranjivost, ističe Charles Carmakal, glavni tehnološki direktor tvrtke Mandiant za kibernetičku sigurnost. Mandiant je odbio elaborirati na koje organizacije hakeri ciljaju.

"S vremenom svatko može iskoristiti ovu prokletu stvar. I to je problem. Vjerojatno će se u masi ne tako ozbiljnih skrivati i veliki hakeri", rekao je izvršni direktor Mandiantaa Kevin Mandia za CNN.

Buka informacija je pravi problem. Za profesionalce u kibernetičkoj sigurnosti Twitter je bio izvor korisnih informacija, ali u nekim slučajevima i dezinformacija koje nemaju nikakve veze s ranjivošću. Kako bi riješila taj problem, CISA je rekla da će postaviti javnu web-stranicu s informacijama o tome koji su softverski proizvodi zahvaćeni ovim problemom i tehnikama koje su hakeri koristili.

"Ovo će biti višetjedni proces tijekom kojeg netko može iskorištavati ranjivost", rekao je Eric Goldstein, izvršni pomoćnik direktora CISA-e za kibernetičku sigurnost.

Sveprisutnost softvera natjerala je stručnjake za kibernetičku sigurnost diljem SAD-a da provedu vikend provjeravajući jesu li njihovi sustavi ranjivi.

"Za većinu svijeta informacijske tehnologije nije bilo slobodnog vikenda", rekao je za CNN Rick Holland, glavni službenik za informacijsku sigurnost u tvrtki za kibernetičku sigurnost Digital Shadowsu.