MOVEit Mayhem 3: “ปิดการใช้งาน HTTP และ HTTPS ทันที”

MOVEit ทำร้ายร่างกายมากขึ้น!

“ปิดการรับส่งข้อมูล HTTP และ HTTPS ไปยัง MOVEit Transfer” Progress Software กล่าว และระยะเวลาในการดำเนินการคือ "โดยทันที", ไม่มี ifs ไม่มี buts

Progress Software เป็นผู้ผลิตซอฟต์แวร์แชร์ไฟล์ MOVEit โอนและเจ้าภาพ MOVEit คลาวด์ ทางเลือกที่อ้างอิงจากมัน และนี่คือคำเตือนครั้งที่สามในรอบสามสัปดาห์เกี่ยวกับช่องโหว่ที่แฮ็กได้ในผลิตภัณฑ์ของมัน

ณ สิ้นเดือนพฤษภาคม 2023 อาชญากรขู่กรรโชกทางไซเบอร์ที่เกี่ยวข้องกับแก๊ง Clop ransomware ถูกพบว่าใช้ช่องโหว่แบบ zero-day เพื่อเจาะเข้าไปในเซิร์ฟเวอร์ที่รันเว็บฟรอนท์เอนด์ของผลิตภัณฑ์ MOVEit

ด้วยการส่งคำสั่งฐานข้อมูล SQL ที่มีรูปแบบไม่ถูกต้องโดยจงใจไปยังเซิร์ฟเวอร์ MOVEit Transfer ผ่านทางเว็บพอร์ทัล อาชญากรสามารถเข้าถึงตารางฐานข้อมูลโดยไม่ต้องใช้รหัสผ่าน และฝังมัลแวร์ที่ช่วยให้พวกเขากลับไปยังเซิร์ฟเวอร์ที่ถูกบุกรุกได้ในภายหลัง แม้ว่าจะได้รับการแก้ไขแล้วก็ตาม ในขณะเดียวกัน

เห็นได้ชัดว่าผู้โจมตีขโมยข้อมูลบริษัทที่ได้รับรางวัล เช่น รายละเอียดบัญชีเงินเดือนพนักงาน และเรียกร้องเงินแบล็กเมล์เป็นการตอบแทนสำหรับการ "ลบ" ข้อมูลที่ถูกขโมย

We อธิบาย วิธีแพตช์และสิ่งที่คุณมองหาได้ในกรณีที่มิจฉาชีพจ่ายเงินให้คุณแล้ว ย้อนกลับไปเมื่อต้นเดือนมิถุนายน 2023:

คำเตือนครั้งที่สอง

คำเตือนนั้นตามมาเมื่อสัปดาห์ที่แล้วโดยการอัปเดตจาก Progress Software

ในขณะที่ตรวจสอบช่องโหว่ Zero-day ที่พวกเขาเพิ่งแพตช์ นักพัฒนาซอฟต์แวร์ของ Progress ได้ค้นพบข้อบกพร่องในการเขียนโปรแกรมที่คล้ายกันในที่อื่นๆ ในโค้ด

บริษัทจึงได้เผยแพร่ก แพทช์เพิ่มเติมกระตุ้นให้ลูกค้าใช้การอัปเดตใหม่นี้ในเชิงรุก โดยสมมติว่าโจร (ซึ่ง Zero-day เพิ่งถูกทำให้ไร้ประโยชน์ในแพตช์แรก) ก็จะมองหาวิธีอื่นในการกลับเข้ามาใหม่เช่นกัน

ไม่น่าแปลกใจเลยที่แมลงขนนกมักจะรวมตัวกันเป็นฝูงดังที่เราได้อธิบายไว้ใน Naked Security ประจำสัปดาห์นี้ พอดคาสต์:

[เมื่อวันที่ 2023-06-09 ความคืบหน้าแจ้ง] แพตช์ใหม่สำหรับจัดการกับบั๊กที่คล้ายกัน ซึ่งเท่าที่ทราบคือยังหาตัวอาชญากรไม่พบ

และฟังดูแปลก เมื่อคุณพบว่าส่วนใดส่วนหนึ่งของซอฟต์แวร์ของคุณมีข้อบกพร่องในลักษณะใดประเภทหนึ่ง คุณไม่ควรแปลกใจหากเมื่อคุณเจาะลึกลงไป...

…คุณพบว่าโปรแกรมเมอร์ (หรือทีมเขียนโปรแกรมที่ทำงานเกี่ยวกับข้อผิดพลาดนั้นในเวลาที่ตรวจพบข้อบกพร่องที่คุณทราบอยู่แล้ว) ได้ทำข้อผิดพลาดที่คล้ายกันในช่วงเวลาเดียวกัน

ครั้งที่สามโชคร้าย

เห็นได้ชัดว่าสายฟ้าฟาดลงที่เดิมเป็นครั้งที่สามติดต่อกันอย่างรวดเร็ว

ครั้งนี้ ดูเหมือนว่ามีใครบางคนทำสิ่งที่เรียกว่า "การเปิดเผยข้อมูลทั้งหมด" (โดยที่บั๊กจะถูกเปิดเผยไปทั่วโลกพร้อมๆ หรือ "ลด 0 วัน"

ความคืบหน้ามีเพียง รายงาน:

วันนี้ [2023-06-15] บุคคลที่สามโพสต์ช่องโหว่ใหม่ [SQL injection] ต่อสาธารณะ เราได้ระงับการรับส่งข้อมูล HTTPS สำหรับ MOVEit Cloud เนื่องจากช่องโหว่ที่เผยแพร่ใหม่ และกำลังขอให้ลูกค้า MOVEit Transfer ทั้งหมดยุติการรับส่งข้อมูล HTTP และ HTTPS ทันที เพื่อปกป้องสภาพแวดล้อมของตนในขณะที่แพทช์เสร็จสิ้น ขณะนี้เรากำลังทดสอบแพตช์และเราจะอัปเดตให้ลูกค้าทราบในไม่ช้า

พูดง่ายๆ คือมีช่วง Zero-day สั้นๆ ในระหว่างที่การแสวงประโยชน์กำลังแพร่ระบาด แต่แพตช์ยังไม่พร้อม

ดังที่ Progress ได้กล่าวถึงก่อนหน้านี้ กลุ่มของข้อผิดพลาดในการฉีดคำสั่ง (ซึ่งคุณส่งข้อมูลที่ควรจะเป็นข้อมูลที่ไม่เป็นอันตรายซึ่งต่อมาถูกเรียกใช้เป็นคำสั่งเซิร์ฟเวอร์) สามารถถูกกระตุ้นได้ผ่านทางพอร์ทัลบนเว็บของ MOVEit เท่านั้น โดยใช้ HTTP หรือ HTTPS คำขอ

โชคดีที่นั่นหมายความว่าคุณไม่จำเป็นต้องปิดระบบ MOVEit ทั้งหมด เฉพาะการเข้าถึงผ่านเว็บเท่านั้น

จะทำอย่างไร?

อ้างอิงจาก Progress Software's เอกสารคำแนะนำ วันที่ 2023-06-15:

ปิดการใช้งาน HTTP และ HTTPs ทั้งหมดในสภาพแวดล้อม MOVEit Transfer ของคุณ โดยเฉพาะอย่างยิ่ง:

• แก้ไขกฎไฟร์วอลล์เพื่อปฏิเสธการรับส่งข้อมูล HTTP และ HTTPs ไปยัง MOVEit Transfer บนพอร์ต 80 และ 443
• โปรดทราบว่าจนกว่าจะเปิดใช้งานทราฟฟิก HTTP และ HTTPS อีกครั้ง:
  • ผู้ใช้จะไม่สามารถเข้าสู่ระบบ MOVEit Transfer web UI ได้
  • งาน MOVEit Automation ที่ใช้โฮสต์ MOVEit Transfer ดั้งเดิมจะไม่ทำงาน
  • REST, Java และ .NET API จะไม่ทำงาน
  • MOVEit Transfer add-in สำหรับ Outlook จะไม่ทำงาน
• โปรโตคอล SFTP และ FTP/s จะยังคงทำงานได้ตามปกติ

จับตาดูแพตช์ที่สามในเทพนิยายนี้ ซึ่ง ณ จุดนี้เราคิดว่าความคืบหน้าจะทำให้การเข้าถึงเว็บกลับมาเหมือนเดิม...

…แม้ว่าเราจะเห็นใจหากคุณตัดสินใจที่จะเลิกใช้มันต่อไปอีกสักระยะหนึ่ง แต่เพื่อความแน่ใจ เพื่อความแน่ใจ

---

เคล็ดลับการล่าภัยคุกคามสำหรับลูกค้า SOPHOS

---

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• การเงิน EVM ส่วนต่อประสานแบบครบวงจรสำหรับการเงินแบบกระจายอำนาจ เข้าถึงได้ที่นี่.
• กลุ่มสื่อควอนตัม IR/PR ขยาย เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. ข้อมูลอัจฉริยะ Web3 ขยายความรู้ เข้าถึงได้ที่นี่.
• ที่มา: https://nakedsecurity.sophos.com/2023/06/15/moveit-mayhem-3-disable-http-and-https-traffic-immediately/