💻 computer science

A Longitudinal Measurement Study of Log4Shell Exploitation from a Reactive Network Telescope

Questo articolo presenta uno studio longitudinale sulle misurazioni dello sfruttamento di Log4Shell basato su un telescopio di rete indiano tra dicembre 2021 e ottobre 2025, rivelando che la vulnerabilità rimane attiva anni dopo la divulgazione con tattiche in evoluzione che includono il consolidamento dell'infrastruttura e un aumento dell'offuscamento, evidenziando così la necessità critica di un monitoraggio a lungo termine e geograficamente diversificato per comprendere appieno il ciclo di vita delle vulnerabilità software critiche.

Autori originali: Aakash Singh, Kuldeep Singh Yadav, V. Anil Kumar, Samiran Ghosh, Pranita Baro, Basavala Bhanu Prasanth

Pubblicato 2026-05-19

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Aakash Singh, Kuldeep Singh Yadav, V. Anil Kumar, Samiran Ghosh, Pranita Baro, Basavala Bhanu Prasanth

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina Internet come una città enorme e affollata. In questa città, quasi ogni edificio (applicazione software) utilizza lo stesso set standard di progetti per le sue guardie di sicurezza e i sistemi di registrazione. Uno di questi progetti, chiamato Log4j, presentava un difetto nascosto nella sua progettazione. Questo difetto, noto come Log4Shell, era come una porta segreta che permetteva a chiunque conoscesse il codice di entrare direttamente, aggirare i lucchetti e prendere il controllo dell'edificio.

Questo documento è un rapporto di sorveglianza quadriennale su come i criminali hanno tentato di utilizzare questa porta segreta. Invece di limitarsi a osservare i primi giorni di caos (come hanno fatto altri studi), i ricercatori hanno allestito una speciale "trappola" in India e hanno osservato ciò che è accaduto da dicembre 2021 fino a ottobre 2025.

Ecco la storia di ciò che hanno scoperto, raccontata in termini semplici:

1. L'allestimento: La trappola "Fantasma"

I ricercatori non hanno costruito un edificio falso per ingannare gli hacker. Invece, hanno costruito un Telescopio di Rete. Immagina questo come una strada buia e vuota nel mezzo della città dove nessuno vive.

Come funziona: Quando un hacker scansiona la città alla ricerca di porte aperte, finisce per bussare a una porta su questa strada vuota.
L'inganno: Di solito, una strada vuota rimane silenziosa. Ma questo telescopio è "reattivo". Quando qualcuno bussa, dice gentilmente: "Ciao, sono qui!" e mantiene la conversazione in corso abbastanza a lungo da vedere cosa intende fare l'hacker dopo. Ciò ha permesso ai ricercatori di catturare le istruzioni reali degli hacker (il "payload") senza eseguire effettivamente alcun software reale che potesse essere hackerato.

2. La cronologia: Da una calca a un cecchino

Lo studio rivela che la minaccia Log4Shell non è semplicemente scomparsa dopo la notizia. Si è evoluta in tre fasi distinte:

Fase 1: Il panico (fine 2021):
Quando il difetto è stato rivelato per la prima volta, è stato come una calca. Hacker da tutto il mondo (in particolare Stati Uniti, Germania e Argentina) hanno iniziato a correre selvaggiamente, bussando a ogni singola porta della città, sperando di trovarne una aperta. Era caotico, rumoroso e ovunque.
Fase 2: Il cambiamento (2022–2023):
Mentre le persone iniziavano a riparare i loro lucchetti (applicando patch al software), la calca rallentò. Gli hacker non si arresero, però. Cambiarono tattica. Invece di correre selvaggiamente, iniziarono a utilizzare squadre specializzate.
- L'analogia: Immagina la folla di migliaia di persone ridursi a pochi gruppi molto organizzati. Entro il 2023, quasi tutti gli attacchi provenivano da un solo paese (la Polonia) e da un numero minuscolo di indirizzi IP specifici. Si è passati da un approccio "spruzzare e pregare" a un approccio "colpo chirurgico".
Fase 3: La persistenza (2024–2025):
Anche anni dopo, gli attacchi non si sono fermati. Anzi, sono diventati ancora più concentrati. Entro il 2025, quasi tutte le scansioni provenivano dalla Germania, guidate da una singola rete. Gli hacker si erano stabiliti in una routine a lungo termine, utilizzando le stesse poche "basi" per continuare a testare le vittime.

3. Le "Basi": Dove si nascondono gli hacker

I ricercatori hanno anche tracciato da dove gli hacker inviavano le loro istruzioni.

I primi giorni: All'inizio, gli hacker utilizzavano molti diversi "centri di comando" (server) sparsi per il mondo (Stati Uniti, Europa, Asia).
I giorni successivi: Nel tempo, questi centri di comando si sono consolidati. Gli hacker hanno smesso di utilizzare centinaia di server diversi e hanno iniziato a fare affidamento su solo una manciata di quelli molto stabili e duraturi. È come una banda criminale che affittava un nuovo appartamento ogni settimana ma alla fine ha acquistato una singola sede permanente.

4. I "Segni di riconoscimento": Nascondersi in piena vista

All'inizio, gli hacker inviavano messaggi chiari come "Apri la porta". Ma mentre gli esperti di sicurezza diventavano più bravi a individuare questi messaggi, gli hacker hanno iniziato a utilizzare l'offuscamento (trucchetti di nascondimento).

L'analogia: Invece di scrivere "JNDI" (il codice per la porta segreta), hanno iniziato a scrivere cose come "J-N-D-I" o a utilizzare simboli strani per spezzare la parola. È come una spia che cambia il suo accento o indossa un travestimento in modo che la guardia di sicurezza non la riconosca. I ricercatori hanno dovuto costruire un decodificatore speciale per scartare questi strati e vedere cosa stavano realmente dicendo gli hacker.

5. La grande lezione

La lezione più importante di questa sorveglianza quadriennale è che i difetti critici del software non svaniscono semplicemente.

Anche se il "bug" è stato corretto anni fa, gli attaccanti continuavano a tornare.
Non si sono fermati perché il ciclo delle notizie è andato avanti; sono semplicemente diventati più intelligenti, più organizzati e più persistenti.
Lo studio mostra che per comprendere davvero una minaccia alla sicurezza non puoi limitarti a guardare le prime settimane. Devi osservarla per anni e devi osservarla da diverse parti del mondo (come l'India), perché i modelli di attacco possono apparire molto diversi a seconda di dove ti trovi in piedi.

In sintesi: Log4Shell era una crepa enorme nelle fondamenta di Internet. Sebbene il panico iniziale fosse rumoroso e caotico, la vera storia è una campagna silenziosa, persistente ed evolutiva da parte di hacker che si sono rifiutati di lasciar perdere, adattando i loro metodi nel corso di quattro anni per continuare a tentare di entrare.

Sintesi Tecnica: Uno Studio Longitudinale di Misurazione dello Sfruttamento di Log4Shell da un Telescopio di Rete Reattivo

Enunciato del Problema
La divulgazione della vulnerabilità Log4Shell (CVE-2021-44228) nel dicembre 2021 ha innescato un'ondata globale di scansioni e sfruttamenti. Sebbene i primi studi di misurazione abbiano fornito informazioni critiche sull'immediato aftermath della divulgazione, erano limitati da finestre di osservazione brevi (tipicamente da dicembre 2021 a febbraio 2022) e da una portata geografica ristretta, concentrandosi principalmente su punti di vista europei e nordamericani. Di conseguenza, l'evoluzione a lungo termine del comportamento di sfruttamento, le variazioni regionali nelle strategie degli attaccanti e la persistenza dell'attività di minaccia oltre la fase iniziale dell'epidemia sono rimaste insufficientemente comprese. Vi era la necessità di uno studio longitudinale capace di osservare l'intero ciclo di vita dello sfruttamento della vulnerabilità, inclusi i cambiamenti nella portata delle scansioni, nel riutilizzo dell'infrastruttura e nell'offuscamento dei payload nel corso di diversi anni.

Metodologia
Questo studio sfrutta un telescopio di rete reattivo (NT) dispiegato in India dal CSIR-4PI (Programma di Ricerca e Osservazione sulla Sicurezza Informatica). A differenza dei telescopi passivi che catturano solo il traffico di fondo non sollecitato, o degli honeypot che richiedono una complessa emulazione di servizi, questo sistema colma il divario preservando il punto di vista della darknet mentre engage in interazioni minime e conformi al protocollo.

Infrastruttura: Il telescopio copre un blocco IPv4 /24 (209 indirizzi IP instradabili) senza servizi ospitati, esponendo l'intero spazio delle porte TCP (0–65535).
Meccanismo Reattivo: Al ricevimento di un TCP SYN, il sistema risponde con un SYN-ACK. Crucialmente, mantiene lo stato per un intervallo fisso ( $\Delta t = 5$ secondi), riconoscendo i segmenti TCP successivi per consentire la cattura dei payload del livello applicativo senza emulare servizi specifici.
Raccolta Dati: Lo studio copre il periodo dal 1° dicembre 2021 al 31 ottobre 2025. Cattura circa 7 milioni di connessioni TCP giornaliere.
Pipeline di Elaborazione: È stata implementata una pipeline strutturata per:
1. Riassemblaggio del Flusso TCP: Ricostruzione di flussi di byte contigui del livello applicativo dalle catture dei pacchetti.
2. Normalizzazione del Payload: Un processo di decodifica multistrato per invertire le tecniche di offuscamento, inclusi la codifica URL, le sequenze di escape Unicode/esadecimali, il wrapping Base64 e la frammentazione sintattica specifica di Log4j (ad esempio, j-n-d-i).
3. Rilevamento delle Firme: Un insieme gerarchico di firme identifica le ricerche JNDI dirette, le varianti offuscate e gli indicatori generici LDAP/URI.
4. Classificazione: I payload sono categorizzati in tipi funzionali: rce_downloader, callback, dns_scan e jndi_probe.

Contributi Chiave

Portata Longitudinale: Il documento presenta la prima misurazione pluriennale dell'attività Log4Shell (quasi quattro anni), andando oltre la fase iniziale dell'epidemia per analizzare la dinamica dello sfruttamento sostenuto.
Prospettiva Regionale: Utilizzando un punto di vista indiano, lo studio offre una visione distinta delle dinamiche dell'ecosistema Internet del Sud Asia, in contrasto con studi precedenti dominati da dati statunitensi ed europei.
Analisi dell'Infrastruttura: Il lavoro offre un'analisi approfondita dell'infrastruttura di callback backend, tracciando la distribuzione geografica, la concentrazione e i modelli di riutilizzo delle reti di scanner e server nel tempo.
Evoluzione del Payload: Lo studio dettaglia la transizione dalla scansione opportunistica alla sonda adattiva, documentando l'aumentata sofisticazione dell'offuscamento dei payload e i cambiamenti nell'uso di protocolli e porte.

Risultati Chiave

Persistenza e Concentrazione: Lo sfruttamento di Log4Shell è persistito per anni dopo la divulgazione. Sebbene le scansioni iniziali alla fine del 2021 fossero geograficamente diversificate (principali contributori: USA, Germania, Argentina, Cina), l'attività è diventata sempre più concentrata negli anni successivi. Nel 2023, la Polonia ha rappresentato il 95,2% del traffico; nel 2025, la Germania ha rappresentato il 98,7%. Questo spostamento indica un passaggio dalla scansione distribuita a un'infrastruttura centralizzata e persistente.
Consolidamento dell'Infrastruttura di Callback: Similmente alle origini delle scansioni, l'infrastruttura dei server di callback è passata da un ecosistema diversificato nel 2021 (Germania, USA, Paesi Bassi, Ucraina) a una centralizzazione estrema. Nel 2025, il 90% dell'infrastruttura di callback era ospitato a Hong Kong, guidato da soli due endpoint all'interno di un singolo Sistema Autonomo (ASN).
Offuscamento del Payload: È stata osservata una chiara transizione dalle ricerche JNDI dirette (circa il 72% dei payload alla fine del 2021) a varianti pesantemente offuscate. Gli attaccanti hanno impiegato sempre più la frammentazione dei caratteri, la sostituzione dei delimitatori e la codifica multistrato per eludere il rilevamento basato su firme.
Spostamenti di Protocollo e Porta: Sebbene il traffico iniziale mirasse alle porte HTTP standard (80, 8080), negli anni successivi si è osservato uno spostamento verso porte HTTP alternative (8081–8085), comunemente utilizzate da server di applicazioni web e interfacce amministrative. LDAP è rimasto il protocollo dominante per i callback (>90% dal 2022 in poi).
Modelli Temporali: L'intensità degli attacchi ha raggiunto il picco nel 2023 e nel 2025. L'analisi intra-annuale ha rivelato che la maggior parte degli attacchi (circa l'80%) si verifica tra marzo e giugno, con un netto calo dopo luglio.
Classificazione del Payload: La stragrande maggioranza (circa il 93%) dei payload osservati conteneva logica di esecuzione di comandi o downloader (rce_downloader), indicando che la maggior parte dell'attività era guidata dallo sfruttamento attivo piuttosto che dalla semplice ricognizione.

Significato e Affermazioni
Il documento afferma che Log4Shell rimane una minaccia significativa e attiva ben oltre il suo periodo iniziale di divulgazione, sfidando l'assunto secondo cui le vulnerabilità critiche vengono neutralizzate non appena sono disponibili le patch. Lo studio sottolinea che il ciclo di vita di tali vulnerabilità comporta una transizione dalla scansione di massa opportunistica a campagne sostenute e adattive guidate da infrastrutture ricorrenti di scanner e callback.

Gli autori enfatizzano il valore della misurazione geograficamente diversificata e a lungo termine per comprendere appieno le dinamiche di sfruttamento. Sostengono che la persistenza di Log4Shell evidenzia i rischi sistemici posti dalle librerie di terze parti ampiamente adottate e le sfide della gestione delle dipendenze. I risultati suggeriscono che i meccanismi di difesa devono evolvere dalla patching reattiva al monitoraggio continuo a lungo termine e alla gestione proattiva dell'inventario delle dipendenze per mitigare i rischi delle vulnerabilità software critiche.

1. L'allestimento: La trappola "Fantasma"

2. La cronologia: Da una calca a un cecchino

3. Le "Basi": Dove si nascondono gli hacker

4. I "Segni di riconoscimento": Nascondersi in piena vista

5. La grande lezione

Articoli simili