Il 19 maggio Barracuda ha scoperto una vulnerabilità nel suo Email Security Gateway, l’apparato che filtra le email prima che arrivino ai server aziendali, e l’ha corretta con aggiornamenti automatici il 20 e il 21 maggio. Il 30 maggio ha pubblicato i primi risultati dell’indagine: la falla era sfruttata almeno da ottobre 2022. Sette mesi.
La CVE-2023-2868 sta nel modulo che esamina gli allegati in arrivo. Durante l’analisi degli archivi .tar, i nomi dei file contenuti non venivano filtrati e finivano dentro un comando di sistema. Bastava quindi un’email con un allegato costruito ad arte per eseguire comandi sull’apparato, senza che nessun utente facesse nulla. Il dispositivo pensato per fermare gli allegati pericolosi si faceva colpire proprio mentre li controllava. Sono coinvolte le versioni dalla 5.1.3.001 alla 9.2.0.006; gli altri prodotti Barracuda, compresi i servizi email in cloud, non sono interessati.
Su una parte degli apparati compromessi gli attaccanti hanno installato tre malware:
- SALTWATER, una backdoor caricata nel demone SMTP che trasferisce file, esegue comandi e crea tunnel;
- SEASPY, una backdoor passiva che ascolta il traffico SMTP e si attiva con un pacchetto speciale;
- SEASIDE, un modulo che apre una shell inversa verso i server degli attaccanti.
In alcuni casi sono stati sottratti dati. Barracuda ha avvisato direttamente i clienti coinvolti e ha pubblicato indicatori di compromissione e regole YARA. Chi ci sia dietro, l’azienda non lo ha detto.
Un osservatorio perfetto
Un gateway di posta vede passare tutte le email dell’azienda, in entrata e in uscita. Una backdoor lì dentro è un punto di osservazione ideale per lo spionaggio, e per mesi nessuno se n’è accorto, anche perché questi apparati raramente vengono monitorati come i server.
Verifica nella console che il tuo ESG abbia ricevuto gli aggiornamenti del 20 e 21 maggio, e controlla se nell’interfaccia è comparso un avviso di Barracuda. Cerca nei log del firewall e dell’apparato gli indicatori pubblicati, risalendo almeno a ottobre 2022. Se l’apparato risulta compromesso, considera esposte le credenziali e le email transitate, cambia le password collegate e valuta l’impatto sui dati.
E da qui in avanti tratta ogni apparato di sicurezza come un server da sorvegliare: log inviati a un sistema esterno, connessioni in uscita sotto controllo.
