Il 1° febbraio Fortra ha avvisato privatamente i clienti di GoAnywhere MFT di una vulnerabilità sfruttata attivamente, e il 7 febbraio ha rilasciato la versione corretta. Il 10 il gruppo Cl0p ha contattato la stampa specializzata per rivendicare di averla usata, in dieci giorni, per rubare dati a oltre 130 organizzazioni.
GoAnywhere è un software di trasferimento file gestito, quello che le aziende usano per scambiare in modo sicuro documenti con clienti, fornitori e banche. La falla, CVE-2023-0669, sta nel servlet che gestisce le risposte di licenza: un oggetto inviato dall’attaccante viene deserializzato senza controlli, e il risultato è l’esecuzione di codice da remoto senza autenticazione. Serve che la console di amministrazione sia raggiungibile da Internet. Il 6 febbraio è stato pubblicato un exploit dimostrativo; la versione corretta è la 7.1.2.
Secondo Cl0p, il gruppo si è limitato a rubare i dati senza cifrare i sistemi. Le affermazioni non sono ancora verificate, ma il copione è già visto: nel 2021 lo stesso gruppo aveva sfruttato un altro prodotto di trasferimento file, Accellion FTA, colpendo decine di aziende in poche settimane. Intanto un grande gruppo ospedaliero statunitense ha comunicato che i dati di circa un milione di pazienti potrebbero essere stati esposti attraverso GoAnywhere.
Un server, decine di partner
La scelta del bersaglio non è casuale. Un sistema di trasferimento file raccoglie in un solo punto ciò che un’azienda scambia con decine di interlocutori: contratti, dati sanitari, buste paga, flussi bancari. Violarlo vale più di molti attacchi separati. E un furto senza cifratura non ferma niente, quindi può passare inosservato finché qualcuno non pubblica i file.
Aggiorna alla 7.1.2 o successiva. Se non puoi farlo subito, applica la mitigazione di Fortra, che disattiva il servlet di licenza nel file web.xml, e soprattutto togli la console di amministrazione da Internet. Poi cerca nei log accessi anomali dalla seconda metà di gennaio, account amministrativi nuovi e download insoliti.
Se usi un altro prodotto MFT, il ragionamento è lo stesso: interfaccia di gestione mai esposta, aggiornamenti con la massima priorità. E chiediti quanti file restano sul server dopo che sono stati scaricati. Quelli che hai già cancellato non possono finire in una rivendicazione.
