Da inizio dicembre gli attaccanti sfruttano una falla nei software di trasferimento file gestito di Cleo, cioè Harmony, VLTrader e LexiCom, usati da migliaia di aziende per scambiare documenti con clienti e fornitori, soprattutto nella logistica, nella distribuzione e nel commercio al dettaglio. Il 13 dicembre il gruppo di estorsione Cl0p ha rivendicato la campagna. È lo stesso di MOVEit e GoAnywhere, e chi segue queste vicende ha smesso di stupirsi.
La storia ha un risvolto sgradevole. A ottobre Cleo aveva corretto la CVE-2024-50623, una vulnerabilità che permetteva di caricare e scaricare file senza restrizioni, con la versione 5.8.0.21. Il 3 dicembre però sono cominciati attacchi che funzionavano anche sui sistemi aggiornati, con un picco intorno all’8. Chi aveva fatto tutto per bene si è trovato compromesso lo stesso. I ricercatori hanno contato almeno dieci aziende colpite nella prima fase e decine di server in seguito.
Il metodo è semplice. Gli attaccanti caricano file nella cartella Autorun, che il software elabora in automatico, e così eseguono comandi e installano una backdoor per muoversi nella rete. Il 10 dicembre Cleo ha avvisato i clienti e poi ha distribuito la versione 5.8.0.24; la nuova falla ha ricevuto l’identificativo CVE-2024-55956. Le autorità statunitensi l’hanno aggiunta al catalogo delle vulnerabilità sfruttate. Quante aziende abbiano perso dati, Cl0p lo farà sapere a modo suo, pubblicando i nomi delle vittime.
Il bersaglio preferito
I sistemi di trasferimento file stanno per definizione al confine della rete e contengono proprio i documenti più preziosi: contratti, ordini, dati di clienti. Per Cl0p sono il bersaglio ideale, perché un’unica falla apre centinaia di porte e permette di chiedere riscatti in serie. Accellion nel 2021, GoAnywhere e MOVEit nel 2023, Cleo adesso.
Aggiorna Harmony, VLTrader e LexiCom alla 5.8.0.24 o successiva. Finché non l’hai fatto, disattiva la funzione Autorun nelle impostazioni e, se puoi, scollega il server da Internet. Cerca nella cartella Autorun e in quelle del programma file XML, JAR o script che non riconosci, e controlla i collegamenti in uscita verso indirizzi sconosciuti.
Se trovi segni di compromissione, considera esfiltrati i file transitati sul sistema e avvia la gestione dell’incidente. E aspettati, nelle prossime settimane, una richiesta di riscatto.
