AWS로 톰캣 웹서버 운영 중 받은 Log4j 취약점 공격??

AWS EC2에 인스턴스를 등록. 자바를 설치한 다음에 스프링 부트로 만든 웹을 배포, 켜두고 있었다.

 

그런데 진짜 우연히 콘솔(푸티) 창을 켜놓고 있던 중에 이상한 로그가 하나 떡 찍힌 것을 확인했다..

 

 

위 코드에 담긴 IP주소는 겉으로 보기에는 멀쩡해 보이는데,

https://www.abuseipdb.com/check/150.136.111.68

150.136.111.68 | Oracle Public Cloud | AbuseIPDB

여기를 통해 확인해보면 해커들이 멀쩡한 기업의 IP를 위장해서 접근하는 것 같다.

이게 말로만 듣던 스푸핑? 

 

 

${${env:NaN:-j}ndi${env:NaN:-:}${env:NaN:-l}dap${env:NaN:-:}

쿠키 속에 포함된 이 코드를 보면

 

https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/log4j-vulnerabilities-attacks

Log4j Vulnerabilities: Attack Insights

여기 사이트 속 Attack Variable 3번과 완전히 일치하는 것을 확인할 수 있다..

 

https://www.cyberpeace.org/CyberPeace/Repository/Research-report-on-Apache-Log4Shell.pdf

IP 부분을 제외하면 완전히 동일하다.

 

아마 공격자가 IP 전체를 싹 돌면서 한놈만 걸려라 식으로 찔러보는 것 같다. 

토이 프로젝트다 보니 https도 아니고 하니까 흠..

 

AWS 운영하다가 해커의 먹잇감이 되어 비트코인 채굴장이 되버리고 요금폭탄을 맞았다나 어쩌나 소리를 어디선가 들어서 어딘가 꺼림칙하기는 하다.. 흠..

 

보안이 중요하긴 하구만

 

 

이거 보고 cloudwatch 설정하고 왔다 ㅋㅋㅋ