La pandilla de extorsión de Clop les da a las víctimas de MOVEit una semana para contactarlas

El grupo de amenazas detrás del ransomware Clop aprovechó los ataques recientes que explotaron una vulnerabilidad de inyección SQL de día cero en una popular herramienta de transferencia de archivos administrados (MFT) basada en la web llamada MOVEit Transfer. En un mensaje publicado en su sitio web de fuga de datos, la pandilla instruye a las víctimas a contactarlos y negociar el pago antes del 14 de junio, de lo contrario, sus datos se filtrarían públicamente.

El mensaje, que se modificó varias veces, incluso para extender la fecha límite del 12 al 14 de junio, les dice a las organizaciones que después del primer contacto por correo electrónico, recibirán un enlace único a un chat en tiempo real a través de la red Tor, diciéndoles un precio por borrar sus datos robados de forma segura y puede solicitar una pequeña cantidad de archivos aleatorios para su verificación. Si no se llega a un acuerdo en siete días, los atacantes amenazan con publicar los datos.

Esto es consistente con los TTP observados, donde los atacantes usaron el exploit MOVEit para inyectar un shell web llamado human2.aspx y crear una cuenta de administrador en la base de datos de la aplicación, que luego el shell web puede usar para filtrar datos. No se observó el uso de ransomware de cifrado de archivos, por lo que es solo una extorsión de fuga de datos.

Nuevo informe revela 20 víctimas del exploit Clop MOVEit

Eso es lo que dijo la empresa de ciberseguridad SentinelOne un informe que ha confirmado ataques contra más de 20 organizaciones en industrias que incluyen aviación, transporte, logística, entretenimiento, servicios financieros, seguros, atención médica, productos farmacéuticos, fabricación, ingeniería, medios, tecnología, servicios públicos y servicios públicos.

Curiosamente, la pandilla Clop dijo en su mensaje que habían eliminado los datos filtrados por los sitios web gubernamentales, locales o policiales porque «no tienen interés en divulgar dicha información». No está claro si la misma exención se extenderá a los servicios públicos, pero esa declaración es más un intento del grupo de evitar presiones adicionales, como lo han hecho otras pandillas en el pasado después de atacar a los gobiernos.

Por ejemplo, después de un gran ataque contra el gobierno costarricense por parte de la pandilla de ransomware Conti en 2022, el Departamento de Estado de EE. UU. ofreció una recompensa de $10 millones por información sobre la identidad o el paradero de los ejecutivos de Conti, lo que probablemente condujo a la decisión aportada al grupo en breve. posteriormente a cesar sus operaciones.