Zoals de namen van de eerste bekende slachtoffers van de MOVEit zero-day-exploitatie begon op 4 juni binnen te rollen, waaraan Microsoft de campagne koppelde de Cl0p-ransomware-outfit, which it calls "Lace Tempest." That makes this merely the latest in a string of very similar cyberattacks against various file-transfer services by the gang.
Sinds 1 juni, toen Progress Software kondigde een zero-day-kwetsbaarheid aan in hun MOVEit-bestandsoverdrachtsprogramma hebben onderzoekers en mogelijk getroffen organisaties geprobeerd de stukken op te rapen. Analyse van Mandiant suggereerde dat hackers al op zaterdag 27 mei begonnen waren met het exploiteren van de zero-day, terwijl het inlichtingenbureau Greynoise gemeld observeren "scanning activity for the login page of MOVEit Transfer located at /human.aspx as early as March 3rd, 2023."
Pas in de afgelopen 24 uur zijn enkele opmerkelijke slachtoffers van deze campagne aan het licht gekomen. De regering van Nova Scotia wel momenteel proberen te meten how much of its citizens' data has been stolen, and a breach at Zellis, a UK payroll company, has caused downstream compromises for some of its high-profile clients, including Boots, de BBC en British Airways.
Wat toeschrijving betreft, behandelde Mandiant de daders vanaf 2 juni als een potentieel nieuwe groep, met mogelijke banden met de cybercriminaliteitsbende FIN11, bekend om zijn ransomware- en afpersingscampagnes en status als Clop-partner. A tweet zondagavond gepubliceerd door Microsoft bood een meer definitieve conclusie:
"Microsoft is attributing attacks exploiting the CVE-2023-34362 MOVEit Transfer 0-day vulnerability to Lace Tempest, known for ransomware operations & running the Clop extortion site. The threat actor has used similar vulnerabilities in the past to steal data & extort victims," the tweet read.
"This threat actor is one that we've been following for years," Microsoft tells Dark Reading. They're "a well-known group responsible for a significant number of threats over the years. Lace Tempest (overlaps w/ FIN11, TA505) is a dominant force in the ransomware and emerging extortion landscape."
Hoe getroffen organisaties moeten reageren op CVE-2023-34362
For John Hammond, a senior security researcher for Huntress who's been het volgen van de kwetsbaarheid van de afgelopen week, Microsoft's attribution raises major concerns for victims. "I don't know what will happen next. We haven't seen any ransomware demands or extortion or blackmail yet. I don't know if we're sitting in waiting, or what will come of it next," he wonders.
Op 2 juni werd Progress Software uitgebracht een patch voor CVE-2023-34362. Maar omdat er aanwijzingen zijn dat de aanvallers er al op 27 mei, zo niet op 3 maart, misbruik van maakten, is simpelweg patchen niet voldoende om bestaande klanten als veilig te beschouwen.
For one thing, any data already stolen can and may be used in follow-on attacks. As Microsoft points out, "there have been two kinds of victims of Lace Tempest. First are victims with an exploited server where a Web shell was dropped (and potentially interacted with to conduct reconnaissance). The second type are victims where Lace Tempest has stolen data." We anticipate their next move will be extortion of victims who have experienced data theft."
As a bare minimum, Hammond advises that customers not only patch, but also "go through those logs, see what artifacts are there, see if you can remove any other hooks and claws. Even if you patch, go make sure that Web shell has been removed and deleted. It's a matter of due diligence here."
Diensten voor bestandsoverdracht onder cybervuur
No amount of MOVEit cleanup will remedy a deeper, underlying problem that seems to be going around lately: It's clear that hacker groups have identified file transfer services as a goldmine for financial cybercrime.
Nog maar een paar maanden geleden, cybercriminals swarmed IBM's Aspera Faspex. A month before that, Cl0p executed a campaign with striking similarity to last week's effort, that time against Fortra's GoAnywhere service. It wasn't even Cl0p's first foray into file transfer breaches — jaar eerder deden ze hetzelfde met Accelion.
Companies that traffic sensitive data with these services will need to find a longer-term solution to what's turning out to be an endemic problem. Exactly what that longer-term solution will be, though, is unclear.
Hammond recommends to "try to limit your attack surface. Whatever we can do to reduce software that we either don't need, or applications that could be handled in a better, more modern way. Those, I think, are maybe the best words of advice at the moment other than: patch."
- Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
- PlatoAiStream. Web3 gegevensintelligentie. Kennis versterkt. Toegang hier.
- De toekomst slaan met Adryenn Ashley. Toegang hier.
- Koop en verkoop aandelen in PRE-IPO-bedrijven met PREIPO®. Toegang hier.
- Bron: https://www.darkreading.com/application-security/microsoft-links-moveit-attack-cl0p-british-airways-fall
- : heeft
- :is
- :niet
- :waar
- $UP
- 1
- 2023
- 24
- 27
- 3
- a
- activiteit
- advies
- Affiliate
- tegen
- luchtwegen
- al
- ook
- bedragen
- an
- en
- anticiperen
- elke
- toepassingen
- ZIJN
- rond
- AS
- At
- aanvallen
- Aanvallen
- terug
- bbc
- BE
- geweest
- vaardigheden
- begonnen
- BEST
- Betere
- Chantage
- Laarzen
- overtreding
- inbreuken
- Brits
- Britse luchtwegen
- maar
- by
- oproepen
- Campagne
- Campagnes
- CAN
- veroorzaakt
- burgers
- duidelijk
- klanten
- CO
- hoe
- komst
- afstand
- betrokken
- Zorgen
- conclusie
- Gedrag
- beschouwd
- kon
- Klanten
- cyber
- cyberaanvallen
- cybercrime
- Donker
- Donkere lezing
- gegevens
- diepere
- definitief
- eisen
- DEED
- ijver
- do
- dominant
- don
- liet vallen
- twee
- Vroeg
- inspanning
- beide
- opkomende
- genoeg
- Ether (ETH)
- Zelfs
- bewijzen
- precies
- uitgevoerd
- bestaand
- ervaren
- Exploited
- afpersing
- Vallen
- weinig
- Dien in
- financieel
- VIND DE PLEK DIE PERFECT VOOR JOU IS
- Stevig
- Voornaam*
- volgend
- Voor
- inval
- Dwingen
- oppompen van
- Bende
- Go
- gaan
- Overheid
- Groep
- Groep
- hacker
- Hackers
- HAD
- gebeuren
- Hebben
- he
- hier
- spraakmakend
- haken
- HOURS
- Hoe
- HTTPS
- i
- IBM
- geïdentificeerd
- if
- in
- Inclusief
- Intelligentie
- in
- Uitgegeven
- IT
- HAAR
- John
- jpg
- juni
- blijven
- bekend
- Landschap
- Achternaam*
- laatste
- licht
- LIMIT
- gekoppeld
- links
- gelegen
- Log in
- groot
- maken
- MERKEN
- Maart
- Materie
- Mei..
- alleen
- Microsoft
- minimum
- spiegel
- Modern
- moment
- Maand
- maanden
- meer
- beweging
- veel
- namen
- Noodzaak
- volgende
- NIST
- opvallend
- roman
- aantal
- of
- aangeboden
- on
- EEN
- Slechts
- Operations
- or
- organisaties
- Overige
- uit
- over
- pagina
- verleden
- Patch
- patchen
- Loonlijst
- kiezen
- stukken
- Plato
- Plato gegevensintelligentie
- PlatoData
- punten
- potentieel
- mogelijk
- Voorafgaand
- probleem
- Programma
- Voortgang
- gepubliceerde
- verhoogt
- ransomware
- RE
- Lees
- lezing
- beveelt
- verminderen
- verwijderen
- verwijderd
- onderzoeker
- onderzoekers
- Reageren
- verantwoordelijk
- Rollen
- lopend
- s
- veilig
- dezelfde
- zaterdag
- het scannen
- Tweede
- veiligheid
- zien
- lijkt
- gezien
- senior
- gevoelig
- Diensten
- Shell
- moet
- aanzienlijke
- gelijk
- eenvoudigweg
- sinds
- website
- Zittend
- Software
- oplossing
- sommige
- gestart
- Status
- gestolen
- Draad
- stel
- Oppervlak
- vertelt
- neem contact
- dat
- De
- diefstal
- hun
- Er.
- Deze
- ze
- ding
- denken
- dit
- die
- toch?
- bedreiging
- bedreigingsintelligentie
- bedreigingen
- Door
- niet de tijd of
- naar
- verkeer
- overdracht
- behandelen
- proberen
- Draai
- tweet
- twee
- type dan:
- Uk
- voor
- die ten grondslag liggen
- gebruikt
- divers
- Ve
- zeer
- slachtoffers
- kwetsbaarheden
- kwetsbaarheid
- Het wachten
- was
- was
- Manier..
- we
- web
- week
- bekend
- waren
- Wat
- wat
- wanneer
- welke
- en
- WIE
- wil
- Met
- woorden
- jaar
- nog
- u
- Your
- zephyrnet