A pochi mesi da GoAnywhere, un altro software di trasferimento file gestito è finito nel mirino. Il 31 maggio Progress Software ha avvisato i clienti di MOVEit Transfer di una vulnerabilità critica. Le analisi successive hanno mostrato che gli attacchi erano cominciati già il 27 maggio, durante il lungo fine settimana festivo del Memorial Day negli Stati Uniti.
La CVE-2023-34362 è una SQL injection nell’interfaccia web di MOVEit Transfer che permette, senza autenticazione, di accedere al database ed eseguire codice. Gli attaccanti hanno installato una web shell chiamata human2.aspx, con cui scaricavano i file custoditi sul server e leggevano le impostazioni di Azure, quando presenti. Le versioni corrette sono la 2021.0.6, la 2021.1.4, la 2022.0.4, la 2022.1.5 e la 2023.0.1.
Microsoft attribuisce gli attacchi al gruppo legato al ransomware Cl0p, che il 6 giugno ha pubblicato un messaggio per le vittime: devono contattarlo entro il 14 giugno, altrimenti i dati verranno diffusi. Le prime vittime note fanno già capire la portata. Un fornitore britannico di servizi paghe ha perso i dati dei dipendenti di diversi grandi clienti, tra cui una compagnia aerea, un’emittente pubblica e una catena di farmacie. Quante siano in tutto le organizzazioni colpite, oggi nessuno è in grado di dirlo.
Lo stesso copione, per la terza volta
Accellion nel 2021, GoAnywhere a febbraio, MOVEit adesso. Cl0p ha trovato una formula: una falla in un prodotto per lo scambio di file usato da molte organizzazioni, sfruttata in massa nel giro di pochi giorni, poi una trattativa con ciascuna vittima. Niente cifratura, solo furto ed estorsione. E i fine settimana festivi, quando i turni di sorveglianza sono ridotti, sono il momento preferito.
Applica subito la versione corretta per il tuo ramo. Se non puoi farlo, blocca il traffico HTTP e HTTPS verso il server finché non aggiorni. Poi cerca nella cartella wwwroot il file human2.aspx o altri file .aspx recenti, account sconosciuti e download insoliti nei log dal 27 maggio. Se trovi tracce, considera compromessi i file presenti e le credenziali di servizio, chiavi Azure comprese.
Anche se MOVEit non lo usi, fai una domanda ai tuoi fornitori: i tuoi dati passano da lì? Molte vittime di questa ondata sono state colpite di riflesso.
