La banda de ransomware Clop explota la vulnerabilidad MOVEit Transfer para robar datos
Más información se anunciará más adelante. noticias la semana pasada que una vulnerabilidad crítica en una aplicación web de transferencia segura de archivos llamada MOVEit Transfer ha sido explotada por piratas informáticos. Microsoft ha atribuido algunos de los ataques a un actor de amenazas asociado con la banda de ransomware Clop.
«Microsoft atribuye los ataques que explotan la vulnerabilidad de día cero CVE-2023-34362 MOVEit Transfer a Lace Tempest, que es conocido por las operaciones de ransomware y alimenta el sitio de rescate Clop», según el equipo de Threat Intelligence de Microsoft. dijo en Twitter. «El actor de amenazas ha explotado históricamente vulnerabilidades similares para robar datos y chantajear a las víctimas».
Esta no es la primera vez que los atacantes explotan vulnerabilidades en las herramientas MFT (Enterprise Managed File Transfer) en relación con la operación del ransomware Clop. En enero, la pandilla explotó una vulnerabilidad de ejecución remota de código de día cero (CVE-2023-0669) en GoAnywhere MFT y afirmó haber robado datos de 130 organizaciones. En 2020, miembros de la pandilla fueron explotados un error de día cero en el dispositivo de transferencia de archivos Accellion (FTA).
La campaña MOVEit Transfer podría tener un impacto aún mayor, ya que hay alrededor de 3000 implementaciones de esta aplicación en la web, en comparación con alrededor de 1000 de GoAnywhere. Zellis, un proveedor de nóminas del Reino Unido utilizado por compañías como British Airways, Boots y la BBC, ya ha confirmado una violación de la vulnerabilidad MOVEit. Mandiant, una empresa de inteligencia de amenazas y respuesta a incidentes propiedad de Google reportado que los ataques comenzaron el 27 de mayo y ya habían afectado a organizaciones en una variedad de industrias con sede en Canadá, India y Estados Unidos.
Los shells web conducen al robo de datos
Según Microsoft, después de la explotación exitosa, los atacantes se autentican como el usuario con los privilegios más altos en el sistema y proporcionan un shell web con capacidades de exfiltración de datos. Mandiant ha llamado LEMURLOOT al caparazón, diciendo que está diseñado para interactuar con la plataforma MOVEit.
El shell web espera una cadena específica en los encabezados de solicitud, que sirve como contraseña para autenticar a los atacantes y permitirles emitir comandos. Uno de los comandos le dice al script que obtenga la configuración relacionada con Azure de la aplicación MOVEit Transfer, incluido el ataque de Azure Blob Storage y su clave. Esto permite a los atacantes ejecutar consultas SQL para enumerar las carpetas y los archivos almacenados en Azure y recuperarlos en forma comprimida.
Respectivamente un análisis actualizado Según los investigadores de la empresa de seguridad Rapid7, todas las infracciones observadas implementaron el shell web denominado human2.aspx en la carpeta wwwroot del directorio de instalación de MOVEit. También hay un archivo legítimo llamado human.aspx que forma parte de la interfaz web de MOVEit.
Los investigadores de Rapid7 también encontraron una manera de determinar qué archivos fueron extraídos por los atacantes. MOVEit puede mantener registros de eventos de Windows y algunos clientes habilitan esta función, lo que da como resultado que la información se registre en un archivo llamado C:\Windows\System32\winevt\Logs\MOVEit.evtx. Si está presente, este archivo debe contener información sobre las descargas de archivos, p. B. Nombre del archivo, ruta del archivo, tamaño del archivo, dirección IP y nombre de usuario que realizó la descarga.
La aplicación MOVEit también almacena registros de auditoría en su base de datos y estos pueden consultarse para obtener información similar. El equipo de Progress Software, el desarrollador de MOVEit Transfer, señaló que al usar la función de informes integrada de la aplicación, los administradores pueden crear un informe personalizado para enumerar todas las descargas de archivos durante los meses de mayo y junio:
Fields: *
Tables: log
Criteria: Action = 'file_download' AND (LogTime LIKE '2023-05%' OR LogTime LIKE '2023-06%')
Si bien el shell web se dirige específicamente a las bases de datos de Azure, cualquier motor de base de datos compatible con MOVEit puede explotarse a través de la vulnerabilidad CVE-2023-34362, lo que las empresas deben hacer. Implementar el parche disponible lo más rápido posible.
«Si bien Mandiant actualmente no tiene evidencia suficiente para atribuir esta actividad reciente a un actor de amenazas conocido, recuerda eventos de explotación masiva anteriores dirigidos al software de transferencia de archivos que resultaron en chantaje por robo de datos relacionado con FIN11 a través del sitio web de fuga de datos CL0P^_- LEAKS (DLS )”, dijo Mandiant en su informe, insinuando una posible conexión con Clop. «En varios casos, varias semanas después de que los atacantes robaran los datos, FIN11 envió correos electrónicos exigiendo un pago de extorsión a cambio de no publicar los datos en CL0P^_- LEAKS DLS».
Derechos de autor © 2023 IDG Communications, Inc.
Este contenido de ciberseguridad nos ha llegado de: CSO Online
Encontrarás la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3698512/clop-ransomware-gang-exploits-the-moveit-transfer-vulnerability-to-steal-data.html#tk.rss_news
