A Longitudinal Measurement Study of Log4Shell Exploitation from a Reactive Network Telescope

Resumo Técnico: Um Estudo Longitudinal de Medição da Exploração do Log4Shell a partir de um Telescópio de Rede Reativo

Declaração do Problema
A divulgação da vulnerabilidade Log4Shell (CVE-2021-44228) em dezembro de 2021 desencadeou uma onda global de varredura e exploração. Embora estudos iniciais de medição tenham fornecido insights críticos sobre o período imediato após a divulgação, eles foram limitados por janelas de observação curtas (tipicamente de dezembro de 2021 a fevereiro de 2022) e escopo geográfico restrito, focando principalmente em pontos de vista europeus e norte-americanos. Consequentemente, a evolução de longo prazo do comportamento de exploração, as variações regionais nas estratégias dos atacantes e a persistência da atividade de ameaça além da fase inicial de surto permaneceram insuficientemente compreendidas. Havia necessidade de um estudo longitudinal capaz de observar o ciclo de vida completo da exploração da vulnerabilidade, incluindo mudanças na amplitude de varredura, reutilização de infraestrutura e ofuscação de payloads ao longo de vários anos.

Metodologia
Este estudo aproveita um telescópio de rede reativo (NT) implantado na Índia pelo CSIR-4PI (Programa de Pesquisa e Observação de Segurança Cibernética). Diferentemente de telescópios passivos que capturam apenas tráfego de fundo não solicitado, ou de honeypots que exigem emulação complexa de serviços, este sistema preenche a lacuna ao preservar o ponto de vista da darknet enquanto engaja em interações mínimas e compatíveis com o protocolo.

• Infraestrutura: O telescópio cobre um bloco IPv4 /24 (209 IPs roteáveis) sem serviços hospedados, expondo todo o espaço de portas TCP (0–65535).
• Mecanismo Reativo: Ao receber um TCP SYN, o sistema responde com um SYN-ACK. Crucialmente, mantém estado por um intervalo fixo ($\Delta t = 5$ segundos), reconhecendo segmentos TCP subsequentes para permitir a captura de payloads da camada de aplicação sem emular serviços específicos.
• Coleta de Dados: O estudo abrange de 1º de dezembro de 2021 a 31 de outubro de 2025. Captura aproximadamente 7 milhões de conexões TCP diariamente.
• Pipeline de Processamento: Um pipeline estruturado foi implementado para:
  1. Reconstrução de Fluxo TCP: Reconstrução de fluxos de bytes contíguos da camada de aplicação a partir de capturas de pacotes.
  2. Normalização de Payload: Um processo de decodificação multicamada para reverter técnicas de ofuscação, incluindo codificação URL, escapes Unicode/hexadecimais, envolvimento Base64 e fragmentação sintática específica do Log4j (por exemplo, j-n-d-i).
  3. Detecção de Assinatura: Um conjunto hierárquico de assinaturas identifica consultas JNDI diretas, variantes ofuscadas e indicadores genéricos de LDAP/URI.
  4. Classificação: Os payloads são categorizados em tipos funcionais: rce_downloader, callback, dns_scan e jndi_probe.

Principais Contribuições

1. Escopo Longitudinal: O artigo apresenta a primeira medição de múltiplos anos da atividade Log4Shell (quase quatro anos), indo além da fase inicial de surto para analisar a dinâmica de exploração sustentada.
2. Perspectiva Regional: Ao utilizar um ponto de vista indiano, o estudo fornece uma visão distinta da dinâmica do ecossistema da Internet do Sul da Ásia, contrastando com estudos anteriores dominados por dados dos EUA e da Europa.
3. Análise de Infraestrutura: O trabalho oferece uma análise aprofundada da infraestrutura de backend de callback, rastreando a distribuição geográfica, concentração e padrões de reutilização de redes de scanners e servidores ao longo do tempo.
4. Evolução de Payload: O estudo detalha a transição de varredura oportunista para sondagem adaptativa, documentando o aumento da sofisticação da ofuscação de payloads e as mudanças no uso de protocolos/portas.

Principais Resultados

• Persistência e Concentração: A exploração do Log4Shell persistiu por anos após a divulgação. Embora a varredura inicial no final de 2021 fosse geograficamente diversificada (principais contribuintes: EUA, Alemanha, Argentina, China), a atividade tornou-se cada vez mais concentrada nos anos posteriores. Em 2023, a Polônia representou 95,2% do tráfego; em 2025, a Alemanha representou 98,7%. Essa mudança indica uma transição de varredura distribuída para infraestrutura centralizada e persistente.
• Consolidação da Infraestrutura de Callback: Similar às origens de varredura, a infraestrutura de servidores de callback mudou de um ecossistema diversificado em 2021 (Alemanha, EUA, Holanda, Ucrânia) para uma centralização extrema. Em 2025, 90% da infraestrutura de callback estava hospedada em Hong Kong, impulsionada por apenas dois endpoints dentro de um único Sistema Autônomo (ASN).
• Ofuscação de Payload: Houve uma transição clara de consultas JNDI diretas (aproximadamente 72% dos payloads no final de 2021) para variantes fortemente ofuscadas. Os atacantes passaram a empregar cada vez mais fragmentação de caracteres, substituição de delimitadores e codificação multicamada para evadir detecção baseada em assinatura.
• Mudanças de Protocolo e Porta: Embora o tráfego inicial visasse portas HTTP padrão (80, 8080), anos posteriores viram uma mudança para portas HTTP alternativas (8081–8085), comumente usadas por servidores de aplicativos web e interfaces administrativas. O LDAP permaneceu o protocolo dominante para callbacks (>90% a partir de 2022).
• Padrões Temporais: A intensidade do ataque atingiu o pico em 2023 e 2025. A análise intra-anual revelou que a maioria dos ataques (aproximadamente 80%) ocorre entre março e junho, com um declínio acentuado após julho.
• Classificação de Payload: A vasta maioria (aproximadamente 93%) dos payloads observados continha lógica de execução de comando ou downloader (rce_downloader), indicando que a maioria da atividade foi impulsionada por exploração ativa e não apenas por reconhecimento.

Significado e Alegações
O artigo alega que o Log4Shell permanece uma ameaça significativa e ativa muito além de seu período inicial de divulgação, desafiando a suposição de que vulnerabilidades críticas são neutralizadas assim que patches estão disponíveis. O estudo sublinha que o ciclo de vida de tais vulnerabilidades envolve uma transição de varredura massiva oportunista para campanhas sustentadas e adaptativas, impulsionadas por infraestruturas recorrentes de scanners e callbacks.

Os autores enfatizam o valor de medições de longo prazo geograficamente diversificadas para compreender plenamente a dinâmica de exploração. Eles argumentam que a persistência do Log4Shell destaca os riscos sistêmicos impostos por bibliotecas de terceiros amplamente adotadas e os desafios do gerenciamento de dependências. As descobertas sugerem que os mecanismos de defesa devem evoluir de correção reativa para monitoramento contínuo de longo prazo e gerenciamento proativo de inventário de dependências para mitigar os riscos de vulnerabilidades de software críticas.