Minecraft（我的世界）玩家遭大规模攻击

2021年12月9日晚，开源项目ApacheLog4j 2的一个远程代码执行漏洞的利用细节被公开。随后该事件迅速发酵，横扫大半个互联网，由于Log4j属于java日志记录的常用基础组件，被广泛使用，所以受灾面也在迅速扩大。在各大厂商忙于打补丁的这个周末，360安全大脑也检测到了大量针对个人用户的攻击事件，其中MinecraftJava版便是其中之一。

针对游戏玩家的攻击

360安全大脑监测到，有黑客疑似利用最新曝光的log4j2漏洞对Minecraft玩家发起攻击。攻击最早发生于12月10日，早期攻击规模较小，第一天检测到的受攻击玩家数量在100左右。12月11日12时起，黑客发起大规模攻击，从12时开始到目前，平均每小时有近5000个Mincraft玩家遭到攻击，攻击最高峰时有超过10000个玩家遭到攻击。

受害玩家数量变化趋势

网上也出现有该漏洞利用的攻击演示，仅仅在游戏的在线聊天中，发送一条带漏洞触发指令的消息，就可以对收到这条消息的用户发起攻击，攻击发起非常容易。

在漏洞利用成功后，黑客通过漏洞触发远程代码执行，之后利用本机的mshta下载并执行远程hta文件。

受攻击机器进程链

该hta文件实际是个用cactusTorch框架生成的远控木马，利用该木马，攻击者就可以完全控制当前用户的电脑。

此次攻击的部分IOC

hxxp://114.132.231.19/A.hta

hxxp://114.132.231.19/O.hta

hxxp://114.132.231.19/2.hta

hxxp://114.132.231.19/OK1.hta

hxxp://114.132.231.19/OK1.hta

hxxp://114.132.231.19/hfs.exe

cc.wdnmdnmsl.xyz

解决方案

对于Minecraft漏洞问题，厂商也紧急发布了修复版本和修复建议。主要内容如下：

1．使用官方版本的，尽快升级最新版本，可以通过重启游戏来升级。2．非官方版本的，注意第三方的升级信息。3．使用Java版服务器的，升级版本到1.18.1

官方详细建议地址：

https://www.minecraft.net/zh-hans/article/important-message–security-vulnerability-java-edition

对于此次攻击事件，广大普通用户，也应该尽快对个人电脑进行加固。360安全大脑在此也给出如下安全建议：

临时应急方案

修改Log4j配置：

log4j2.formatMsgNoLookups=True

设置JVM启动参数：

-Dlog4j2.formatMsgNoLookups=true

设置环境变量：

FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS值为true

360安全大脑防护

已安装了360客户端的用户，得益于360安全大脑强大的云端智能识别能力，无需升级即可正常识别并拦截此类攻击。

同时360还更新了高危漏洞免疫工具，在360.cn官网可以下载绿色版本直接运行，通过漏洞免疫缓解类似攻击。

发布者：水桥丶帕露西