„Cleo“ išleido saugos naujinimus dėl nulinės dienos „LexiCom“, „VLTransfer“ ir „Harmony“ programinės įrangos, šiuo metu naudojamų duomenų vagysčių atakose, trūkumo.
Spalio mėnesį bendrovė savo valdomoje failų persiuntimo programinėje įrangoje pataisė išankstinio autentifikavimo nuotolinio kodo vykdymo pažeidžiamumą (CVE-2024-50623) ir rekomendavo „visiems klientams nedelsiant atnaujinti“.
„Huntress“ saugumo tyrėjai pirmą kartą pastebėjo atakų, nukreiptų prieš visiškai pataisytą „Cleo“ programinę įrangą, įrodymus gruodžio 3 d. Po to sekmadienį, gruodžio 8 d., smarkiai išaugo aktyvumas, kai užpuolikai greitai atrado CVE-2024-50623 aplinkkelį (be CVE-ID). kuri leidžia jiems importuoti ir vykdyti savavališkas bash arba PowerShell komandas, naudojant numatytuosius Autorun aplanko nustatymus.
Ši nulinės dienos klaida dabar naudojama vykstant atakoms, kurias kibernetinio saugumo ekspertas Kevinas Beaumontas siejo su „Termite“ išpirkos reikalaujančių programų gauja, kuri neseniai pareiškė pretenzijas dėl programinės įrangos, kaip paslaugos (SaaS) tiekėjo „Blue Yonder“ pažeidimo.
„Šis pažeidžiamumas yra aktyviai išnaudojamas laukinėje gamtoje, o visiškai pataisytos sistemos, kuriose veikia 5.8.0.21, vis dar gali būti išnaudojamos“, – pirmadienį perspėjo Huntress.
„Primygtinai rekomenduojame perkelti visas į internetą veikiančias Cleo sistemas už ugniasienės, kol bus išleista nauja pataisa.
Šiuo metu „Shodan“ visame pasaulyje stebi 421 „Cleo“ serverį, iš kurių 327 yra Jungtinėse Valstijose. „Macnica“ grėsmių tyrinėtojas Yutaka Sejiyama taip pat rado 743 „Cleo“ serverius, pasiekiamus internetu (379 veikia „Harmony“ programinė įranga, 124 „VLTrader“ ir 240 „LexiCom“).
Galimi pataisymai, skirti blokuoti Malichus kenkėjiškų programų atakas
Šiandien „Cleo“ išleido pataisas, skirtas blokuoti vykstančias atakas, ir paragino klientus kuo greičiau atnaujinti į 5.8.0.24 versiją, kad būtų apsaugoti interneto veikiantys serveriai, pažeidžiami bandymų pažeisti.
„Cleo primygtinai rekomenduoja visiems klientams nedelsiant atnaujinti Harmony, VLTrader ir LexiCom egzempliorius į naujausią išleistą pataisą (5.8.0.24 versija), kad būtų pašalintos papildomos aptiktos galimos pažeidžiamumo atakos vektoriai“, – teigė bendrovė. „Pritaikius pataisą, visų paleisties metu rastų failų, susijusių su šiuo išnaudojimu, klaidos registruojamos ir tie failai pašalinami“, – priduriama.
„Cleo“ pataria tiems, kurie negali iš karto naujovinti, išjungti automatinio paleidimo funkciją, nuėjus į sistemos parinktis ir išvalius automatinio paleidimo katalogą (tai neblokuos gaunamų atakų, bet sumažins atakos paviršių).
Grėsmių dalyviai išnaudojo dabar pataisytą failą, kad įdiegtų užkoduotą Java archyvo (JAR) naudingąjį apkrovą (VirusTotal), kuri yra didesnės Java pagrindu sukurtos post-eksploatacijos sistemos dalis, kaip Rapid7 nustatė tirdama atakas.
Huntress taip pat išanalizavo kenkėjišką programą (dabar pavadintą Malichus) ir teigė, kad ji buvo įdiegta tik „Windows“ įrenginiuose, nors ji taip pat palaikoma „Linux“. Pasak Binary Defense ARC Labs, kenkėjiškų programų operatoriai gali naudoti Malichus failams perduoti, komandoms vykdyti ir tinklo ryšiui.
Iki šiol Huntress atrado mažiausiai dešimt įmonių, kurių Cleo serveriai buvo įsilaužti per šias vykstančias atakas, ir teigė, kad yra ir kitų galimų aukų. „Sophos“ taip pat rado kompromiso požymių daugiau nei 50 „Cleo“ kompiuterių.
„Visi pastebėti paveikti klientai turi filialą arba veikia Šiaurės Amerikoje, visų pirma JAV. Pastebime, kad dauguma pastebėtų paveiktų klientų yra mažmeninės prekybos organizacijos”, – sakė Sophos.
Šios atakos labai panašios į pastarųjų metų Clop duomenų vagysčių atakas, nukreiptas į nulį dienų MOVEit Transfer, GoAnywhere MFT ir Accellion FTA.