(Bloomberg) -- Около недели назад Агентство США по кибербезопасности и защите инфраструктуры и ФБР разослали совместное консультативное предупреждение о том, что продукт для передачи файлов под названием MOVEit содержит опасный недостаток, который может позволить хакерам красть данные из уязвимых систем.
Оказалось, что проблема возникла недалеко от дома. В четверг агентство, сокращенно называемое CISA, предоставило обновленную информацию: тот же самый недостаток в MOVEit был использован для взлома нескольких агентств США.
Директор CISA Джен Истерли заявила, что агентство оказывает поддержку департаментам, пострадавшим от атаки MOVEit. Она сказала, что, “насколько нам известно”, хакеры только крадут информацию, хранящуюся в сервисе MOVEit, и что вторжения не использовались для получения дальнейшего доступа к другим частям сетей.
Объявление CISA стало последним подтверждением того, чего многие опасались, когда ранее в этом месяце были раскрыты первые нарушения, связанные с MOVEit, - что это может перерасти в хакерскую атаку. Хотя Истерли не назвал пострадавшие агентства, по словам человека, знакомого с этим вопросом, среди жертв был подрядчик национальной лаборатории США и хранилища радиоактивных отходов, находящегося в ведении Министерства энергетики.
“Узнав, что записи двух организаций Министерства обороны были скомпрометированы в результате глобальной кибератаки на программное обеспечение для обмена файлами MOVEit transfer, Министерство обороны предприняло немедленные шаги, чтобы предотвратить дальнейшее использование уязвимости”, - сказал представитель агентства.
В список жертв входят Shell Plc, правительство Новой Шотландии, британский регулятор связи Ofcom, Министерство образования Миннесоты и голландская компания по строительству кемпингов и зон отдыха Landal GreenParks.
British Airways IAG SA, сеть аптек Boots и British Broadcasting Corp. сообщили сотрудникам, что личная информация, возможно, была скомпрометирована после взлома их платежной системы Zellis.
Хакерская группа под названием Clop, которая заявила, что стоит за атаками, первоначально заявила, что у них есть информация о сотнях компаний. Изъян в программном обеспечении MOVEit позволил хакерам украсть файлы, которые компании и организации загрузили на него.
Как и многие другие хакерские группы, Clop крадет данные у компаний, а затем угрожает опубликовать их на своем собственном сайте утечек в даркнете, если они не получат платеж. Clop, который также известен как Cl0p, - это название варианта программы-вымогателя, но иногда используется для описания хакерской группы, которая также использует его.
Подробнее: Хакеры меняют тактику вымогательства, избегая полиции
Русскоязычная группа разместила на своем сайте сообщение, в котором жертвам взлома предоставлялось время до 14 июня, чтобы начать переговоры о выкупе. В тот день группа, по-видимому, не публиковала никаких данных на своем сайте, хотя в ней было перечислено около дюжины предполагаемых новых жертв, включая американский университет, страховые и производственные фирмы, банки, а также компании, предоставляющие инвестиционные и финансовые услуги.
Приложения для передачи файлов, такие как MOVEit от Progress Software Corp., предназначены для безопасной передачи конфиденциальной информации и выполнения корпоративных требований соответствия. Системы могут быть сконфигурированы в соответствии со стандартами конфиденциальности данных, такими как HIPPA, которые защищают конфиденциальную информацию.
“Ваша организация зависит от безопасной и достоверной передачи критически важных конфиденциальных данных”, - говорится в видеоролике на веб-сайте Progress. ”Движение может помочь".
Согласно заявлению Комиссии по ценным бумагам и биржам США, компания впервые начала расследование взлома вечером 28 мая после того, как звонок в службу поддержки клиентов выявил подозрительную активность.
Исследователи обнаружили уязвимость нулевого дня в программном обеспечении, что означало, что еще не было патча для ее исправления. Согласно заявлению, этот недостаток может подготовить почву для “несанкционированного повышения привилегий и доступа к базовой среде клиента”. Компания предупредила клиентов и SEC 30 мая.
Компания Progress выпустила исправление для этого недостатка. Фирма по кибербезопасности Huntress помогла компании выявить дополнительные недостатки, которые могли стать мишенью для хакеров, и для этих уязвимостей также было выпущено исправление. “Мы не видели признаков того, что эти недавно обнаруженные уязвимости были использованы”, - заявила компания 9 июня.
Однако в четверг Progress объявила, что неназванная третья сторона нашла еще один нулевой день, согласно обновлению на веб-сайте компании. В то время не было патча, делающего программное обеспечение уязвимым для эксплуатации, поэтому Progress отключила облачный сервис MOVEit и призвала клиентов исправить свои собственные серверы MOVEit.
К пятнице компания заявила, что исправила последний недостаток в MOVEit cloud и поощряет клиентов применять исправление на своих собственных серверах MOVEit.
(Обновления, которые компания исправила в последний нулевой день в последних двух абзацах.)
©2023 Bloomberg L.P.
