Czy padłeś ofiarą włamania do MOVEit? Oto, co musisz wiedzieć
Kluczowe wnioski
Niedawny cyberatak przeprowadzony przez kolektyw ransomware Clop, który został nazwany “naruszeniem MOVEit”, został uznany za jeden z najważniejszych incydentów hakerskich roku 2023, dotykając łącznie 2659 różnych podmiotów i około 67 milionów osób.
Wykorzystując nieznaną wcześniej lukę w programie MOVEit, cyberprzestępcy uzyskali nieautoryzowany dostęp do poufnych informacji przechowywanych przez firmy korzystające z tej aplikacji.
Instytucje edukacyjne, takie jak Johns Hopkins University i Webster University, nie zostały oszczędzone przed szkodliwymi skutkami cyberataku, który objął również inne sektory, w tym opiekę zdrowotną, bankowość i handel.
Osoby, które zostały objęte naruszeniem danych MOVEit, które miało wpływ na około 62 miliony osób, są zachęcane do podjęcia proaktywnych działań w odpowiedzi na ten godny uwagi incydent cyberbezpieczeństwa. Uważany za jeden z najważniejszych ataków 2023 roku, włamanie dokonane przez kolektyw ransomware Clop naraziło na szwank znaczną liczbę podmiotów, powodując straty finansowe sięgające dziesiątek milionów dolarów.
Atak ransomware MOVEit to niedawne zagrożenie cyberbezpieczeństwa, które zyskało znaczną uwagę ze względu na jego szeroki wpływ na osoby i organizacje na całym świecie. To złośliwe oprogramowanie infiltruje systemy komputerowe, wykorzystując luki w zabezpieczeniach lub poprzez wiadomości phishingowe, a następnie szyfruje pliki na urządzeniu ofiary, czyniąc je niedostępnymi bez klucza deszyfrującego będącego w posiadaniu atakujących. Żądanie zapłaty okupu, zazwyczaj w kryptowalucie, jest dokonywane w zamian za przywrócenie dostępu do zablokowanych danych. Nie ma jednak gwarancji, że zapłacenie okupu doprowadzi do pomyślnego odzyskania plików, a także przyczynia się do opłacalności działalności przestępczej. Ważne jest, aby użytkownicy wdrożyli solidne środki bezpieczeństwa, takie jak regularne tworzenie kopii zapasowych, utrzymywanie systemu operacyjnego i
Co to jest MOVEit?
MOVEit to zaawansowane oprogramowanie i usługa dostarczana przez Progress Software, stworzona specjalnie w celu usprawnienia bezpiecznego przesyłania poufnych informacji między różnymi podmiotami, takimi jak korporacje, agencje rządowe, instytucje edukacyjne i inne organizacje odpowiedzialne za obsługę i utrzymanie odpowiednich repozytoriów danych. Ta wszechstronna platforma umożliwia przedsiębiorstwom bezpieczne przesyłanie plików i danych przez sieci, jednocześnie chroniąc przed nieautoryzowanymi włamaniami lub naruszeniami bezpieczeństwa.
W maju 2023 r. nastąpiła znacząca zmiana, gdy grupa ransomware Clop naruszyła dane wielu podmiotów korzystających z MOVEIt.Przed tym wydarzeniem powszechnie uważano, że korzystanie z MOVEIt zapewnia odpowiednią ochronę przed takimi atakami.
Jak doszło do naruszenia bezpieczeństwa MOVEit?
W maju 2023 r. poinformowano, że osławiony kolektyw ransomware Clop wykorzystał szereg nieznanych wcześniej słabości w oprogramowaniu MOVEIt do przeprowadzenia swoich złośliwych działań.
Luka typu zero-day odnosi się do nieodkrytej luki w zabezpieczeniach oprogramowania, która jest wykorzystywana przez cyberprzestępców przed jej ujawnieniem, co często ma miejsce, zanim deweloper dowie się o niej lub wyda poprawkę. Tego typu luki stanowią poważne zagrożenie ze względu na ich potencjał do przedłużonego nieautoryzowanego dostępu, ponieważ mogą pozostać ukryte przed wykryciem przez dłuższy czas.
Po wykryciu luk w zabezpieczeniach aplikacji MOVEit firmy Progress Software, firma niezwłocznie wydała poprawkę, aby je wyeliminować. Niestety, do tego momentu szkody zostały już wyrządzone. W czasie, gdy luki nie były jeszcze znane opinii publicznej ani producentom oprogramowania, cyberprzestępcy wykorzystali słabości, aby uzyskać nieautoryzowany dostęp do poufnych informacji należących do wielu organizacji wykorzystujących MOVEit do zarządzania i przesyłania danych.
Image Credit: rawpixel.com/ Freepik
Osławiony gang ransomware Clop odkrył kilka słabości SQL injection w oprogramowaniu MOVEit, umożliwiając im uzyskanie dostępu do baz danych podmiotów docelowych i wyodrębnienie, a także przeglądanie poufnych plików. Zdarzenie to podkreśla wagę luk w zabezpieczeniach SQL injection, które występują, gdy złośliwe polecenia SQL są ukradkiem wprowadzane do wyznaczonych pól wejściowych, wykorzystując luki w zabezpieczeniach nieodłącznie związane z aplikacjami, które opierają się na bazach danych. Te nielegalnie wprowadzone instrukcje mogą być następnie wykorzystane do naruszenia integralności repozytorium, co skutkuje potencjalnym ujawnieniem lub modyfikacją krytycznych informacji, stanowiąc tym samym ogromne zagrożenie dla bezpieczeństwa dotkniętych organizacji.
Wyżej wymienionym lukom SQL injection przypisano identyfikatory CVE w postaci CVE-2023-34362, CVE-2023-35036 i CVE-2023-35708. Problemy te zostały naprawione w dniach odpowiadających 31 maja 2023 r., 9 czerwca 2023 r. i 15 czerwca 2023 r., indywidualnie. Każda wersja oprogramowania transferowego MOVEit była podatna na te luki w zabezpieczeniach.Po udanym wykorzystaniu nieuprzywilejowany atakujący uzyskuje nieograniczony dostęp do zawartości bazy danych transferu MOVEIt organizacji, umożliwiając mu zarówno pobieranie, modyfikowanie
Wpływ naruszenia bezpieczeństwa danych MOVEit
Według analizy Emisoft i statystyk dotyczących naruszenia bezpieczeństwa danych MOVEit, na dzień 9 listopada 2023 r. naruszenie MOVeit miało wpływ na 2659 organizacji i dotknęło ponad 67 milionów osób, a organizacje miały siedzibę głównie w Stanach Zjednoczonych, Kanadzie, Niemczech i Wielkiej Brytanii.
Sektor edukacyjny został poważnie dotknięty cyberatakami, o czym świadczy nieautoryzowany dostęp do uniwersyteckich baz danych zgłoszony przez różne instytucje, takie jak system szkół publicznych w Nowym Jorku, Johns Hopkins University, University of Alaska i Webster University, a także kilka innych znaczących instytucji. Co więcej, branża opieki zdrowotnej, instytucje bankowe i finansowe oraz korporacje również doświadczyły znaczących zakłóceń z powodu tych złośliwych ingerencji.
Według doniesień, kilka znanych firm padło ofiarą ataku ransomware MOVEit, w tym szanowane BBC, światowy gigant energetyczny Shell, międzynarodowa korporacja Siemens Energy, renomowana firma świadcząca profesjonalne usługi Ernst & Young oraz prestiżowe linie lotnicze British Airways.
25 września 202 r. wiodąca firma zajmująca się rejestracją prenatalną, noworodków i dzieci, BORN Ontario , wydała oświadczenie w sprawie naruszenia MOVEit, ujawniając, że została dotknięta naruszeniem MOVEit. Zgodnie z ich raportem, luka w zabezpieczeniach MOVEit umożliwiła nieautoryzowanym złośliwym podmiotom zewnętrznym dostęp i kopiowanie plików z osobistymi informacjami zdrowotnymi zawartymi w rejestrach BORN Ontario, które zostały przesłane za pomocą bezpiecznego oprogramowania do przesyłania plików.
W szybkiej reakcji, Born Ontario szybko oddzieliło sieć, zdemontowało zagrożony serwer i rozpoczęło dochodzenie we współpracy ze specjalistami ds. bezpieczeństwa informacji, aby ocenić skalę naruszenia i zidentyfikować dokładne dane, które zostały skradzione.
Wiele instytucji padło ofiarą cyberataków z powodu polegania na zewnętrznych dostawcach usług, którzy korzystają z narzędzia do przesyłania danych MOVEit, zamiast bezpośrednio z niego korzystać. Spowodowało to znaczne straty finansowe wynikające z żądań ransomware i niezbędnych ulepszeń bezpieczeństwa, wynoszące łącznie miliardy dolarów w różnych dotkniętych organizacjach.
Zostałeś dotknięty naruszeniem MOVEit. Co dalej?
Osoby, które nadal korzystają z MOVEit, muszą niezwłocznie zaktualizować swoje oprogramowanie do najnowszej wersji, aby chronić swoje dokumenty i informacje przed potencjalnymi cyberatakami przeprowadzanymi przez złośliwe podmioty. Niestety, krajobraz cyfrowy i wykorzystywane w nim aplikacje są podatne na naruszenia bezpieczeństwa, takie jak włamania i oprogramowanie ransomware. Aby ograniczyć to ryzyko, użytkownicy powinni przyjąć proaktywne podejście, wdrażając regularne zmiany haseł, stosując rozwiązania antywirusowe i aktywując mechanizmy uwierzytelniania wieloskładnikowego.
Pomimo wdrożenia solidnych środków bezpieczeństwa, takich jak szyfrowanie i kontrola dostępu, jak pokazał niedawny incydent z naruszeniem danych MOVEit, wysoce wykwalifikowani cyberprzestępcy nadal mogą odkryć wcześniej niewidoczne luki w systemach.