Minecraft（我的世界）玩家遭大規模攻擊

2021年12月9日晚，開(kāi)源項目ApacheLog4j 2的一個(gè)遠程代碼執行漏洞的利用細節被公開(kāi)。隨后該事件迅速發(fā)酵，橫掃大半個(gè)互聯(lián)網(wǎng)，由于Log4j屬于java日志記錄的常用基礎組件，被廣泛使用，所以受災面也在迅速擴大。在各大廠(chǎng)商忙于打補丁的這個(gè)周末，360安全大腦也檢測到了大量針對個(gè)人用戶(hù)的攻擊事件，其中MinecraftJava版便是其中之一。

針對游戲玩家的攻擊

360安全大腦監測到，有黑客疑似利用最新曝光的log4j2漏洞對Minecraft玩家發(fā)起攻擊。攻擊最早發(fā)生于12月10日，早期攻擊規模較小，第一天檢測到的受攻擊玩家數量在100左右。12月11日12時(shí)起，黑客發(fā)起大規模攻擊，從12時(shí)開(kāi)始到目前，平均每小時(shí)有近5000個(gè)Mincraft玩家遭到攻擊，攻擊最高峰時(shí)有超過(guò)10000個(gè)玩家遭到攻擊。

受害玩家數量變化趨勢

網(wǎng)上也出現有該漏洞利用的攻擊演示，僅僅在游戲的在線(xiàn)聊天中，發(fā)送一條帶漏洞觸發(fā)指令的消息，就可以對收到這條消息的用戶(hù)發(fā)起攻擊，攻擊發(fā)起非常容易。

在漏洞利用成功后，黑客通過(guò)漏洞觸發(fā)遠程代碼執行，之后利用本機的mshta下載并執行遠程hta文件。

受攻擊機器進(jìn)程鏈

該hta文件實(shí)際是個(gè)用cactusTorch框架生成的遠控木馬，利用該木馬，攻擊者就可以完全控制當前用戶(hù)的電腦。

此次攻擊的部分IOC

hxxp://114.132.231.19/A.hta

hxxp://114.132.231.19/O.hta

hxxp://114.132.231.19/2.hta

hxxp://114.132.231.19/OK1.hta

hxxp://114.132.231.19/OK1.hta

hxxp://114.132.231.19/hfs.exe

cc.wdnmdnmsl.xyz

解決方案

對于Minecraft漏洞問(wèn)題，廠(chǎng)商也緊急發(fā)布了修復版本和修復建議。主要內容如下：

1．使用官方版本的，盡快升級最新版本，可以通過(guò)重啟游戲來(lái)升級。2．非官方版本的，注意第三方的升級信息。3．使用Java版服務(wù)器的，升級版本到1.18.1

官方詳細建議地址：

https://www.minecraft.net/zh-hans/article/important-message–security-vulnerability-java-edition

對于此次攻擊事件，廣大普通用戶(hù)，也應該盡快對個(gè)人電腦進(jìn)行加固。360安全大腦在此也給出如下安全建議：

臨時(shí)應急方案

修改Log4j配置：

log4j2.formatMsgNoLookups=True

設置JVM啟動(dòng)參數：

-Dlog4j2.formatMsgNoLookups=true

設置環(huán)境變量：

FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS值為true

360安全大腦防護

已安裝了360客戶(hù)端的用戶(hù)，得益于360安全大腦強大的云端智能識別能力，無(wú)需升級即可正常識別并攔截此類(lèi)攻擊。

同時(shí)360還更新了高危漏洞免疫工具，在#官網(wǎng)可以下載綠色版本直接運行，通過(guò)漏洞免疫緩解類(lèi)似攻擊。

發(fā)布者：水橋丶帕露西