"Log4Shell", el nuevo malware que puede afectar a servicios como iCloud, Amazon o Steam

Se ha detectado la existencia de un nuevo exploit que pone en un posible peligro a los servidores de iCloud, Amazon, Steam y muchos más, e incluso a los dispositivos vinculados a ellos. El exploit llega bajo el nombre de 'Log4Shell', y ha levantado las alarmas por la forma tan inusualmente fácil que tiene de activarse.

Cuando se explota la vulnerabilidad, esta permite que 'Log4Shell' corra un código malicioso en servidores vulnerables. Según han arrojado diversas investigaciones de los especialistas en LunaSec, 'Log4Shell' podría poner en peligro a los servidores de múltiples aplicaciones y servicios, entre los que tenemos a Amazon, iCloud, Steam y más.

La vulnerabilidad fue encontrada por primera vez en log4j, una librería de código abierto usada por varias aplicaciones para hacer "logging". Este término se refiere a la grabación secuencial de eventos que serán revisados más adelante para detectar problemas o vulnerabilidades en los eventos de un proceso informático.

Para explotar la vulnerabilidad, un atacante tiene que hacer que la aplicación guarde una cadena especial de caracteres en el registro. Dado que las aplicaciones registran habitualmente una amplia gama de eventos -como los mensajes enviados y recibidos por los usuarios, o los detalles de los errores del sistema-, la vulnerabilidad es inusualmente fácil de explotar y puede activarse de diversas maneras.

Log4Shell fue visto recientemente en los servidores de Minecraft, donde los hackers podía llegar a activar el exploit usando el chat interno del juego. En cuanto a Apple, los hackers podrían activar el código a través de códigos QR, vulnerando así la protección de iCloud.

Según ha comentado el investigador de seguridad Marcus Hutchins, este exploit podría llegar a afectar a millones de aplicaciones alrededor del mundo, sobre todo por lo muy popular que es la librería de log4j. Hasta ahora las compañías no han realizado ningún comentario al respecto, pero muy probablemente ya se encuentran manos a la obra para solucionar los problemas que pueda causarles Log4Shell.