Атаки через Progress MOVEit transfer | Блог Касперского

[KL FC Bot]

Если корпоративное приложение MOVEit Transfer вам незнакомо, инцидент с его взломом все равно стоит изучить хотя бы из-за масштаба последствий: пострадали сотни организаций, включая нефтяной гигант Shell, департамент образования Нью-Йорка, BBC, Boots, Aer Lingus, BA, несколько крупных учреждений здравоохранения в разных странах, Университет Джорджии, Heidelberger Druck и многие другие организации.  Печальная ирония в том, что вектором атаки стало приложение для безопасной и управляемой передачи файлов для крупных организаций (Secure Managed File Transfer Software for the Enterprise) — так называет MOVEit Transfer его создатель, фирма ipswitch (вошла в состав компании Progress). MOVEit Transfer относится к системам управляемой передачи файлов (managed file transfer, MFT) и позволяет организовать обмен большими файлами между сотрудниками компании и внешними подрядчиками, используя для трансфера данных протоколы SFTP, SCP и HTTP. Она существует в виде облачного и on-premise-решения.

На примере этой серии инцидентов есть чему поучиться всем, кто несет ответственность за ИБ в организации.

Как ломали и чинили MOVEit Transfer

Мы не будем пересказывать все перипетии бурных для пользователей MOVEit полутора месяцев, а ограничимся основными вехами.

27 мая стало известно о подозрительной активности в сетях многих организаций, использующих MOVEit Transfer. Расследование показало, что злоумышленники использовали ранее неизвестную уязвимость для выполнения SQL-запросов к базе данных и воровства информации.

31 мая Progress выпустили первый бюллетень c рекомендациями по безопасности и исправлениями. Сначала компания считала, что пострадали только инсталляции on-premise, но впоследствии оказалось, что облачный вариант MOVEit тоже подвержен угрозе.  В результате MOVEit Cloud временно отключили для накатывания патчей и расследования. Исследователи из Rapid7 насчитали в сети 2500 уязвимых серверов on-premise.

2 июня уязвимость получила идентификатор CVE-2023-34362 с почти предельным уровнем критичности (CVSS 9.8). Компании, расследующие инциденты, атрибутировали угрозу группировке вымогателей cl0p.  Позднее, 9 июня, исследователи Kroll сообщили, что, вероятно, эксплуатацию MOVEit тестировали с 2021 года. В ходе расследований инцидентов стало очевидно, что цепочка атаки не обязательно завершается SQL-инъекцией и может включать запуск произвольного кода.

К чести Progress, они не ограничились фиксом, а инициировали аудит кода, в результате чего компания Huntress не только воспроизвела всю цепочку эксплуатации, но и обнаружила еще одну уязвимость. Она была исправлена 9 июня в следующем бюллетене и получила идентификатор CVE-2023-35036.  Многие админы даже не успели установить патч, как в Progress сами обнаружили еще одну уязвимость (CVE-2023-35708) и выпустили для нее третий бюллетень 15 июня. Чтобы применить патчи, MOVEit Cloud снова отключили почти на 10 часов.

 

Посмотреть полную статью