I funzionari della Cybersecurity and Infrastructure Security Agency hanno detto di non aver confermato i rapporti di più società di sicurezza su installazioni di ransomware o tentativi di altri governi di rubare segreti.
"Non stiamo vedendo campagne di intrusione diffuse e altamente sofisticate", ha detto Eric Goldstein, assistente direttore esecutivo per la sicurezza informatica alla CISA, in una chiamata con i giornalisti.
Ma ha avvertito che la minaccia continuerà ad evolversi e l'agenzia sta ancora lavorando per raccogliere informazioni affidabili su quali tipi di software sono soggetti agli attacchi.
Ha detto che era possibile che i dispositivi di consumo diffusi come i router fossero vulnerabili e la sua unità all'interno del Dipartimento di Sicurezza Nazionale stava lavorando con i fornitori per farli distribuire le correzioni dove necessario.
Il difetto è stato trovato in un comune strumento di registrazione, noto come Log4j, ed è portato avanti da almeno centinaia di altri programmi che si basano sullo strumento. Goldstein ha detto che il difetto è facile da sfruttare.
Anche se una patch nello strumento è disponibile dal 6 dicembre, molti di quegli altri programmi devono anche implementare la patch per garantire che un attaccante non possa ottenere un accesso profondo alla rete.
Sotto i poteri recentemente concessi, la CISA ha diretto tutte le agenzie federali a installare le patch non appena diventano disponibili.
Goldstein ha detto che non ci sono state segnalazioni di intrusioni utilizzando la vulnerabilità nel governo, ma la CISA si aspetta che "tutti i tipi di avversari" cerchino di sfruttare la falla.
La funzione di registrazione permette agli utenti di presentare il codice live che fa riferimento a un repository esterno, che il programma poi cercherà e installerà. Gli hacker possono usarlo per prendere il controllo dei server, che possono avere accesso ad altre macchine con dati più preziosi o poteri di rete.
Anche se la falla esiste nel programma gratuito Log4j da anni, è stata recentemente scoperta da un ricercatore della società tecnologica cinese Alibaba e segnalata al gruppo di volontari che mantengono il programma. La discussione aperta all'interno della società di sicurezza cinese è stata rilevata e alcuni sfruttamenti della falla sono iniziati prima che la Apache Software Foundation potesse rilasciare la patch.
Goldstein ha detto che era "preoccupante" ogni volta che una falla viene sfruttata prima che una patch sia uscita. Secondo i recenti regolamenti cinesi, alcuni professionisti della sicurezza devono riferire le loro scoperte al governo rapidamente, spesso prima che le patch siano pronte.
