💻 computer science

A Longitudinal Measurement Study of Log4Shell Exploitation from a Reactive Network Telescope

Dit artikel presenteert een longitudinale meetstudie van Log4Shell-exploitatie vanuit een Indisch netwerktelescoop tussen december 2021 en oktober 2025, waarin wordt aangetoond dat de kwetsbaarheid jaren na bekendmaking actief blijft met evoluerende tactieken, waaronder consolidatie van infrastructuur en verhoogde obscuratie, waardoor de kritieke behoefte aan langetermijnmonitoring met geografische diversiteit wordt benadrukt om de levenscyclus van kritieke softwarekwetsbaarheden volledig te begrijpen.

Oorspronkelijke auteurs: Aakash Singh, Kuldeep Singh Yadav, V. Anil Kumar, Samiran Ghosh, Pranita Baro, Basavala Bhanu Prasanth

Gepubliceerd 2026-05-19

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Aakash Singh, Kuldeep Singh Yadav, V. Anil Kumar, Samiran Ghosh, Pranita Baro, Basavala Bhanu Prasanth

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je het internet voor als een enorme, bruisende stad. In deze stad gebruikt bijna elk gebouw (softwaretoepassing) dezelfde standaardset blauwdrukken voor zijn beveiligingswachten en logsystemen. Een van deze blauwdrukken, genaamd Log4j, had een verborgen gebrek in zijn ontwerp. Dit gebrek, bekend als Log4Shell, was als een geheime achterdeur die iedereen die de code kende, toeliet om rechtdoor te lopen, de sloten te omzeilen en de controle over het gebouw over te nemen.

Dit document is een vierjarig surveillanceverslag over hoe criminelen probeerden deze achterdeur te gebruiken. In plaats van alleen de eerste dagen van chaos te observeren (zoals andere studies deden), zetten de onderzoekers een speciale "val" op in India en observeerden ze wat er gebeurde van december 2021 tot en met oktober 2025.

Hier is het verhaal van wat ze vonden, in eenvoudige bewoordingen verteld:

1. De Opzet: De "Geest"-val

De onderzoekers bouwden geen nepgebouw om hackers te misleiden. In plaats daarvan bouwden ze een Netwerktelescoop. Denk hierbij aan een donkere, lege straat in het midden van de stad waar niemand woont.

Hoe het werkt: Wanneer een hacker de stad scant op open deuren, klopt hij uiteindelijk op een deur op deze lege straat.
De Truc: Normaal gesproken blijft een lege straat stil. Maar deze telescoop is "reactief". Wanneer iemand klopt, zegt het beleefd: "Hallo, ik ben hier!" en houdt het gesprek net lang genoeg gaande om te zien wat de hacker als volgende wil doen. Dit stelde de onderzoekers in staat om de daadwerkelijke instructies van de hackers (de "payload") te vangen, zonder daadwerkelijk enige echte software te draaien die gehackt kon worden.

2. De Tijdlijn: Van Stampede tot Sniper

De studie onthult dat de Log4Shell-bedreiging niet gewoon verdween nadat het nieuws uitkwam. Het evolueerde in drie distincte fases:

Fase 1: De Paniek (eind 2021):
Toen het gebrek voor het eerst werd onthuld, was het als een stampede. Hackers van over de hele wereld (vooral uit de VS, Duitsland en Argentinië) begonnen wild te rennen, op elke enkele deur in de stad te kloppen, in de hoop een open deur te vinden. Het was chaotisch, luid en overal.
Fase 2: De Verschuiving (2022–2023):
Toen mensen begonnen hun sloten te repareren (de software te patchen), vertraagde de stampede. De hackers gaven echter niet op. Ze veranderden van tactiek. In plaats van wild te rennen, begonnen ze gespecialiseerde teams in te zetten.
- De Analogie: Stel je voor dat de menigte van duizenden krimpt tot slechts een paar zeer georganiseerde groepen. In 2023 kwamen bijna alle aanvallen van slechts één land (Polen) en een klein aantal specifieke IP-adressen. Het ging van een "spuit en bid"-aanpak naar een "chirurgische slag"-aanpak.
Fase 3: De Persistentie (2024–2025):
Zelfs jaren later stopten de aanvallen niet. Sterker nog, ze werden nog geconcentreerder. In 2025 kwam bijna alle scanning van Duitsland, gedreven door één enkel netwerk. De hackers hadden zich gevestigd in een langetermijnroutine, waarbij ze dezelfde paar "bases" gebruikten om voortdurend op slachtoffers te testen.

3. De "Bases": Waar de hackers zich verstoppen

De onderzoekers hielden ook bij waar de hackers hun instructies naartoe stuurden.

Eerste dagen: In het begin gebruikten hackers veel verschillende "commandocentra" (servers) verspreid over de wereld (VS, Europa, Azië).
Latere dagen: Na verloop van tijd consolideerden deze commandocentra. De hackers stopten met het gebruik van honderden verschillende servers en begonnen te vertrouwen op slechts een handvol zeer stabiele, langdurige exemplaren. Het is als een criminele bende die elke week een nieuw appartement huurde, maar uiteindelijk een enkel, permanent hoofdkwartier kocht.

4. De "Geheime Handdrukken": Verstoppen in het zicht

In het begin stuurden de hackers duidelijke berichten zoals "Open de deur". Maar toen beveiligingsexperts beter werden in het opsporen van deze berichten, begonnen de hackers obfuscatie (verhultrucs) te gebruiken.

De Analogie: In plaats van "JNDI" (de code voor de achterdeur) te schrijven, begonnen ze dingen te schrijven zoals "J-N-D-I" of gebruikten ze vreemde symbolen om het woord te breken. Het is als een spion die zijn accent verandert of een vermomming draagt, zodat de beveiligingswacht hen niet herkent. De onderzoekers moesten een speciale decoder bouwen om deze lagen af te pellen en te zien wat de hackers echt zeiden.

5. De Grote Les

De belangrijkste les uit dit vierjarige toezicht is dat kritieke softwarefouten niet zomaar verdwijnen.

Hoewel de "bug" jaren geleden was opgelost, bleven de aanvallers terugkomen.
Ze stopten niet omdat het nieuwsritme voorbij was; ze werden gewoon slimmer, georganiseerder en volhardender.
De studie toont aan dat je om een beveiligingsbedreiging echt te begrijpen, niet alleen naar de eerste paar weken kunt kijken. Je moet het jarenlang volgen, en je moet het vanuit verschillende delen van de wereld bekijken (zoals India), omdat de aanvalpatronen er heel anders kunnen uitzien afhankelijk van waar je staat.

Samenvattend: Log4Shell was een enorme scheur in de fundering van het internet. Hoewel de initiële paniek luid en chaotisch was, is het echte verhaal een stille, volhardende en evoluerende campagne van hackers die weigerden los te laten, en die hun methoden over vier jaar aanpasten om blijven proberen binnen te breken.

Technische Samenvatting: Een longitudinale meetstudie van Log4Shell-exploitatie vanuit een reactief netwerktelescoop

Probleemstelling
De bekendmaking van de Log4Shell-kwetsbaarheid (CVE-2021-44228) in december 2021 veroorzaakte een wereldwijde golf van scans en exploitatie. Hoewel initiële meetstudies cruciale inzichten boden in de directe nasleep van de bekendmaking, werden ze beperkt door korte observatievensters (meestal december 2021 tot februari 2022) en een beperkte geografische reikwijdte, met name gericht op Europese en Noord-Amerikaanse uitkijkpunten. Bijgevolg bleef de langetermijnevolutie van exploitatiegedrag, regionale variaties in aanvalstrategieën en de persistentie van dreigingsactiviteit na de initiële uitbraakfase onvoldoende begrepen. Er was behoefte aan een longitudinale studie die in staat is om de volledige levenscyclus van de exploitatie van de kwetsbaarheid waar te nemen, inclusief veranderingen in scanbreedte, infrastructuurhergebruik en payload-verwarring over meerdere jaren.

Methodologie
Deze studie maakt gebruik van een reactieve netwerktelescoop (NT) die in India is ingezet door CSIR-4PI (Cyber Security Research and Observation Program). In tegenstelling tot passieve telescopen die alleen ongevraagde achtergrondverkeer vastleggen, of honeypots die complexe service-emulatie vereisen, overbrugt dit systeem de kloof door het darknet-uitkijkpunt te behouden terwijl het minimale, protocol-conforme interacties aangaat.

Infrastructuur: De telescoop bestrijkt een /24 IPv4-blok (209 routeerbare IP-adressen) zonder gehoste services, waardoor de volledige TCP-poortruimte (0–65535) wordt blootgesteld.
Reactief Mechanisme: Bij ontvangst van een TCP SYN reageert het systeem met een SYN-ACK. Cruciaal is dat het gedurende een vast interval ( $\Delta t = 5$ seconden) staat bewaart, waardoor het volgende TCP-segmenten bevestigt om het vastleggen van applicatielaag-payloads mogelijk te maken zonder specifieke services te emuleren.
Dataverzameling: De studie loopt van 1 december 2021 tot 31 oktober 2025. Het vangt dagelijks ongeveer 7 miljoen TCP-verbindingen op.
Verwerkingspijplijn: Een gestructureerde pijplijn is geïmplementeerd voor:
1. TCP-streamherassemblage: Het reconstrueren van aaneengesloten applicatielaag-byte-stromen uit pakketopnames.
2. Payload-normalisatie: Een meerlagig decodeerproces om verwarringstechnieken ongedaan te maken, waaronder URL-codering, Unicode/hexadecimale escapes, Base64-omhulling en Log4j-specifieke syntactische fragmentatie (bijv. j-n-d-i).
3. Signatuurdetectie: Een hiërarchische set signaturen identificeert directe JNDI-opzoeking, verwarde varianten en generieke LDAP/URI-indicatoren.
4. Classificatie: Payloads worden gecategoriseerd in functionele types: rce_downloader, callback, dns_scan en jndi_probe.

Belangrijkste Bijdragen

Longitudinale Reikwijdte: Het artikel presenteert de eerste meerjarige meting van Log4Shell-activiteit (bijna vier jaar), en gaat voorbij de initiële uitbraakfase om aanhoudende exploitatiedynamiek te analyseren.
Regionaal Perspectief: Door gebruik te maken van een Indiaas uitkijkpunt biedt de studie een uniek beeld van de dynamiek van het Zuid-Aziatische internet-ecosysteem, in contrast met eerdere studies die werden gedomineerd door Amerikaanse en Europese data.
Infrastructuuranalyse: Het werk biedt een diepgaande analyse van backend-callbackinfrastructuur, waarbij de geografische verdeling, concentratie en hergebruikpatronen van scanner- en servernetwerken in de loop van de tijd worden gevolgd.
Payload-evolutie: De studie beschrijft de overgang van opportunistische scans naar adaptieve probing, en documenteert de toenemende complexiteit van payload-verwarring en verschuivingen in protocol- en poortgebruik.

Belangrijkste Resultaten

Persistentie en Concentratie: Log4Shell-exploitatie bleef jarenlang bestaan na de bekendmaking. Hoewel initiële scans eind 2021 geografisch divers waren (topbijdragers: VS, Duitsland, Argentinië, China), werd de activiteit in latere jaren steeds meer geconcentreerd. In 2023 was Polen goed voor 95,2% van het verkeer; in 2025 was Duitsland goed voor 98,7%. Deze verschuiving duidt op een overgang van gedistribueerde scans naar gecentraliseerde, aanhoudende infrastructuur.
Consolidatie van Callback-infrastructuur: Net als bij scanoorsprong verschuift de callback-serverinfrastructuur van een divers ecosysteem in 2021 (Duitsland, VS, Nederland, Oekraïne) naar extreme centralisatie. In 2025 was 90% van de callback-infrastructuur gehost in Hongkong, gedreven door slechts twee eindpunten binnen één enkel autonoom systeem (ASN).
Payload-verwarring: Er was een duidelijke overgang van directe JNDI-opzoeking (ongeveer 72% van de payloads eind 2021) naar zwaar verwarde varianten. Aanvallers gebruikten steeds vaker karaktersplitting, leestekenvervanging en meerlagige codering om signatuur-gebaseerde detectie te ontlopen.
Protocol- en Poortverschuivingen: Hoewel initiële verkeer standaard HTTP-poorten (80, 8080) targeted, zag men in latere jaren een verschuiving naar alternatieve HTTP-poorten (8081–8085), die veel worden gebruikt door webapplicatieservers en beheerinterfaces. LDAP bleef het dominante protocol voor callbacks (>90% vanaf 2022).
Temporele Patronen: De aanvalintensiteit piekte in 2023 en 2025. Intra-jaarlijkse analyse toonde aan dat het merendeel van de aanvallen (ongeveer 80%) plaatsvindt tussen maart en juni, met een scherpe daling na juli.
Payload-classificatie: Het overgrote deel (ongeveer 93%) van de waargenomen payloads bevatte commando-uitvoering of downloader-logica (rce_downloader), wat aangeeft dat de meeste activiteit werd gedreven door actieve exploitatie in plaats van louter verkenning.

Betekenis en Beweringen
Het artikel beweert dat Log4Shell ver voorbij de periode van initiële bekendmaking een significante, actieve dreiging blijft, wat de aanname uitdaagt dat kritieke kwetsbaarheden worden geneutraliseerd zodra patches beschikbaar zijn. De studie onderstreept dat de levenscyclus van dergelijke kwetsbaarheden een overgang omvat van opportunistische massascans naar aanhoudende, adaptieve campagnes die worden gedreven door terugkerende scanner- en callback-infrastructuur.

De auteurs benadrukken de waarde van geografisch diverse, langetermijnmeting om exploitatiedynamiek volledig te begrijpen. Zij betogen dat de persistentie van Log4Shell de systemische risico's benadrukt die worden veroorzaakt door wijdverspreide third-party bibliotheken en de uitdagingen van afhankelijkheidsbeheer. De bevindingen suggereren dat verdedigingsmechanismen moeten evolueren van reactief patchen naar continue, langetermijnmonitoring en proactief beheer van afhankelijkheidsinventarissen om de risico's van kritieke softwarekwetsbaarheden te mitigeren.

1. De Opzet: De "Geest"-val

2. De Tijdlijn: Van Stampede tot Sniper

3. De "Bases": Waar de hackers zich verstoppen

4. De "Geheime Handdrukken": Verstoppen in het zicht

5. De Grote Les

Meer zoals dit