Подробный анализ уязвимости нулевого дня в MOVEit Transfer

Основные выводы

• Общей чертой всех взломанных устройств является веб-шелл с именем human2.aspx, расположенный в публичной HTML-папке C:\MOVEitTransfer\wwwroot. С атаками связано несколько IP-адресов, и, по сообщениям, атаки начались 27 мая.
• Метод эксплуатации очень напоминает массовые атаки на серверы GoAnywhere MFT и Accellion FTA в январе 2023 года и декабре 2020 года соответственно. Эти предыдущие инциденты были связаны с группировкой вымогателей Clop, которая использовала платформы управляемой передачи файлов для кражи данных и вымогательства.
• Группа киберпреступников Lace Tempest была официально связана с эксплуатацией критической уязвимости в приложении MOVEit Transfer от Progress Software. Их очевидное сотрудничество с группировкой вымогателей cl0p, о чем свидетельствуют записки с требованиями выкупа, найденные на взломанных хостах, подчеркивает острую необходимость оперативной установки патчей безопасности. Эксплойт PoC для MOVEit Transfer был выпущен компанией Horizon3.
• 15 июня была обнаружена третья уязвимость (CVE-2023-35708) в MOVEit Transfer от Progress Software. Эта уязвимость может позволить пользователям получить повышенные права и потенциально несанкционированный доступ к среде. Конкретные характеристики уязвимости, позволяющие ей распространяться как червь, неизвестки. Кроме того, исследователи не обнаружили никаких доказательств эксплуатации этой уязвимости.

Рекомендации

• Немедленные меры включают блокировку внешнего трафика на порты 80 и 443, проверку папки MOVEit Transfer на наличие непредвиденных файлов и проведение тщательного криминалистического анализа на предмет любых признаков компрометации. Организациям настоятельно рекомендуется подготовиться к потенциальному вымогательству и публичному раскрытию украденных данных. Ожидается, что корпорация Progress Software выпустит патч для устранения уязвимости, который следует применить сразу после его выхода.
• Выполните поиск последующих потенциальных признаков несанкционированного проникновения за последние 30 дней, т.е. как минимум появление непредвиденных файлов в директории C:\MOVEitTransfer\wwwroot на всех ваших экземплярах MOVEit Transfer (включая резервные копии), непредвиденные и/или масштабные загрузки файлов.
• Патч уже опубликован вендором.

Эта уязвимость требует экстренного патча.

Введение

Простыми словами, мы расследуем серьезную проблему кибербезопасности в популярном программном обеспечении MOVEit Transfer. В этом ПО обнаружена уязвимость безопасности, известная как уязвимость нулевого дня, которая в настоящее время используется хакерами для кражи данных у многих организаций. Точные личности этих злоумышленников неизвестны, так как попыток вымогательства до сих пор не предпринималось. Характер этих кибератак очень напоминает предыдущие крупномасштабные атаки в 2020 и 2023 годах на аналогичные типы программного обеспечения. Эти прошлые инциденты приписывались преступной группе, известной как группировка вымогателей Clop.

Новая уязвимость, затрагивающая приложение MOVEit Transfer от Progress Software, была раскрыта 15 июня, так как киберпреступная группировка Cl0p использовала вымогательство против пострадавших компаний.

Технические детали

Около 2500 незащищенных серверов MOVEit, в основном в США, находятся под угрозой. Общей чертой всех эксплуатируемых устройств является веб-шелл с именем human2.asp, расположенный в публичной HTML-папке C:\MOVEit Transfer\wwwroot. Этот веб-шелл сначала проверяет, содержит ли входящий запрос определенное значение, похожее на пароль, в заголовке X-siLock-Comment, и возвращает ошибку 404 «Не найдено», если заголовок заполнен неверно.

При доступе с правильным паролем веб-шелл выполняет команды на основе значений заголовков запроса X-siLock-Step1, X-siLock-Step1 и X-siLock-Step3. Это позволяет злоумышленнику взаимодействовать с сервером MySQL в MOVEit и выполнять различные действия, включая получение сведений о файлах, манипулирование учетными записями пользователей, получение конфигурации учетной записи Azure Blob Storage и загрузку файлов.

После взлома также сообщалось о наличии файлов с произвольными именами App_Web\_<random>.dll, таких как App_Web_feevjhtu.dll, в дополнение к обычному наличию одного такого файла. Уязвимость имеет идентификатор CVE-2023-34362.

Новая уязвимость, получившая обозначение CVE-2023-35708, также связана с уязвимостью SQL-инъекции, которая может привести к повышению привилегий и потенциальному несанкционированному доступу к среде. В онлайн-приложении MOVEit Transfer была обнаружена уязвимость SQL-инъекции, которая может позволить неаутентифицированному злоумышленнику получить несанкционированный доступ к базе данных MOVEit Transfer.

Злоумышленник может изменить и раскрыть содержимое базы данных MOVEit, отправив специально сформированный полезный нагрузочный блок (payload) на конечную точку приложения MOVEit Transfer. Тем не менее, исследователи не нашли никаких доказательств того, что уязвимость эксплуатировалась.

Затронутые продукты

• MOVEit Transfer 2023.0.0
• MOVEit Transfer 1.x
• MOVEit Transfer 2022.0.x
• MOVEit Transfer 1.x
• MOVEit Transfer 2021.0.x
• MOVEit Transfer 2023.0.1, 2023.0.2 (15.0.1, 15.0.2)
• MOVEit Transfer 2022.1.5, 2022.1.6 (14.1.5, 14.1.6)
• MOVEit Transfer 2022.0.4, 2022.0.5 (14.0.4, 14.0.5)
• MOVEit Transfer 2021.1.4, 2021.1.5 (13.1.4, 13.1.5)
• MOVEit Transfer 2021.0.6, 2021.0.7 (13.0.6, 13.0.7)
• MOVEit Transfer 2020.1.6 (12.1.6) или новее
• MOVEit Transfer 2020.0.x (12.0) или старше

Доступные патчи вендора

Корпорация Progress Software Corporation уже опубликовала патч. Файлы доступны по ссылке ниже:

Доступные митигации

Шаг 1: Приостановите всю активность HTTP и HTTPS, направленную на вашу среду MOVEit Transfer, до выпуска патча.

Точнее говоря:

• Настройте правила брандмауэра для отклонения HTTP- и HTTPS-трафика к MOVEit Transfer на портах 80 и
• Имейте в виду, что до восстановления HTTP- и HTTPS-трафика: пользователи не смогут войти в веб-интерфейс MOVEit Transfer; задачи MOVEit Automation, использующие встроенный хост MOVEit Transfer, станут неактивными; REST, Java и .NET API перестанут работать; плагин MOVEit Transfer для Outlook перестанет функционировать. Тем не менее, протоколы SFTP и FTP/s продолжат работать в обычном режиме. Администраторы сохранят доступ к MOVEit Transfer, используя подключение к удаленному рабочему столу к устройству Windows и перейдя к https://localhost/
• Пользователи не смогут войти в веб-интерфейс MOVEit Transfer
• Задачи MOVEit Automation, использующие встроенный хост MOVEit Transfer, станут неактивными
• REST, Java и .NET API перестанут работать
• Плагин MOVEit Transfer для Outlook перестанет функционировать
• Тем не менее, протоколы SFTP и FTP/s продолжат работать в обычном режиме. Администраторы сохранят доступ к MOVEit Transfer, используя подключение к удаленному рабочему столу к устройству Windows и перейдя к

Шаг 2: Проверьте, удалите и сбросьте

2.1 Удалите несанкционированные файлы и профили пользователей

• Найдите и удалите все экземпляры файлов скриптов human2.aspx и cmdline;
• Проверьте директорию C:\MOVEitTransfer\wwwroot на сервере MOVEit Transfer на наличие недавно созданных файлов;
• Выполните поиск новых файлов, созданных в директории C:\Windows\TEMP\[random] с расширением файла .cmdline на сервере MOVEit Transfer;
• Удалите все несанкционированные профили пользователей;
• Проверьте журналы на предмет непредвиденных загрузок файлов с неизвестных IP-адресов или большого количества загруженных файлов.

2.2 Сброс паролей

• Сбросьте пароли служебных учетных записей для затронутых систем, а также служебной учетной записи MOVEit.

Используйте приведенные ниже индикаторы компрометации (IoC), чтобы проверить наличие потенциальных признаков взлома в среде.

Шаг 3. Примените патч

Эта уязвимость требует экстренного патча.

Атрибуция

Критическая уязвимость в приложении MOVEit Transfer компании Progress Software официально приписывается Lace Tempest — хакерской группе, отслеживаемой корпорацией Microsoft. После эксплуатации злоумышленники обычно развертывают веб-шелл, способный осуществлять эксфильтрацию данных.

Lace Tempest, также известная как Storm-0950, связана с другими заметными группировками, такими как FIN11, TA505 и Evil Corp, и управляет сайтом вымогателей Cl0p. Прошлые действия группы демонстрируют устойчивый паттерн эксплуатации уязвимостей нулевого дня (включая недавнюю серьезную ошибку в серверах PaperCut) для кражи данных и вымогательства у жертв.

Активность, связанная с этой хакерской группой, также отслеживается компанией Mandiant (принадлежащей Google) под меткой UNC4857. При этом веб-шелл идентифицирован как LEMURLOOT, а также отмечены широкие тактические связи с FIN11.

Открытые источники указывают на сотрудничество между хакерской группой Lace Tempest и группировкой вымогателей cl0p. Доказательством этого сотрудничества являются записки с требованиями выкупа, обнаруженные на взломанных хостах, которые однозначно связаны с группой cl0p.

Индикаторы компрометации

Стандартный путь для обнаружения этого программного обеспечения — C:\MOVEitTransfer\webroot, а также наличие библиотеки moveitisapi.dll.

Путь к файлу:

C:\MOVEitTransfer\wwwroot\human2.aspx

(?i)\MOVEit Transfer\wwwroot\\[^\\]{1,40}.(zip|rar|7z|exe|ps1|bat);70 (регулярное выражение)

Путь к папке:

C:\Windows\TEMP\[случайный][случайный].cmdline

(Скрипт, который выполняется для создания файла human2.aspx. Путь к папке и имя файла рандомизируются.)

POST-запросы:

POST /moveitisapi/moveitisapi.dll

POST /guestaccess.aspx

POST /api/v1/folders/[случайный]/files

Создание учетной записи пользователя:

Health Check Service

(«Веб-шелл создает сеанс учетной записи пользователя MOVEit Transfer с отображаемым именем „Health Check Service“»)

IP-адреса:

209.97.137[.]335.252.191[.]0/24148.113.152[.]14489.39.105[.]1085.252.190[.]1155.252.190[.]208209.97.137[.]335.252.189[.]0/245.252.190[.]0/24198.27.75[.]110209.222.103[.]17084.234.96[.]104

IP-адреса, с высокой долей вероятности связанные с массовыми сканерами:

146.190.166[.]168138.68.153[.]47138.197.152[.]201

Примечание:

Следующие адреса были идентифицированы как экземпляры массового сканера zGrab, который с высокой вероятностью может рассматриваться как ложноположительный. В ходе различных мероприятий по компьютерной криминалистике и реагированию на инциденты (DFIR) он мог быть ошибочно отнесен к IoC, напрямую связанным с кампанией, так как его полномасштабное сканирование интернета делает его очень активным в журналах.

Хэши SHA256 (связанные с именем файла «human2.aspx» на VirusTotal):

5b566de1aa4b2f79f579cdac6283b33e98fdc8c1cfa6211a787f8156848d67ff 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 9e89d9f045664996067a05610ea2b0ad4f7f502f73d84321fb07861348fdc24ad49cf23d83b2743c573ba383bf6f3c28da41ac5f745cde41ef8cd1344528c195 b1c299a9fe6076f370178de7b808f36135df16c4e438ef6453a39565ff2ec272 6015fed13c5510bbb89b0a5302c8b95a5b811982ff6de9930725c4630ec4011d 48367d94ccb4411f15d7ef9c455c92125f3ad812f2363c4d2e949ce1b615429a 2413b5d0750c23b07999ec33a5b4930be224b661aaf290a0118db803f31acbc5 e8012a15b6f6b404a33f293205b602ece486d01337b8b3ec331cd99ccadb562e

Хэши SHA256 (веб-шелл «human2.aspx», использовавшийся во время атаки, по данным поставщика):

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

Правило Sigma для обнаружения создания файлов: https://github.com/SigmaHQ/sigma/pull/4281/files#diff-57f376f5bc911cab912a22bf4e18faf321a8608d9ce72da7e121a8ed48238d21 (opens in a new tab)

Концепт-доказательство (PoC)

ИБ-исследователи из Horizon3 выпустили PoC для эксплуатации MOVEit Transfer (CVE-2023-34362) — https://github.com/horizon3ai/CVE-2023-34362 (opens in a new tab). Компания (Horizon3) резюмирует свою публикацию следующим образом: «Этот PoC использует SQL-инъекцию для получения токена доступа к API сисадмина, а затем использует этот доступ для злоупотребления вызовом десериализации с целью получения удаленного выполнения кода. Этот PoC должен обращаться к конечной точке поставщика идентификационных данных (IdP), на которой размещены надлежащие сертификаты RS256, используемые для подделки произвольных токенов пользователей — по умолчанию этот PoC использует нашу конечную точку IdP, размещенную в AWS. По умолчанию эксплойт записывает файл в C:\Windows\Temp\message.txt. Альтернативные полезные нагрузки могут быть сгенерированы с помощью проекта ysoserial.net».

Важно отметить, что общедоступный PoC может мотивировать других злоумышленников запустить собственные кампании и тем самым увеличить количество атак.

Ссылки

• https://www.reddit.com/r/msp/comments/13xjs1y/tracking_emerging_moveit_transfer_critical/

Список изменений

Глоссарий терминов