Ошибка MoveIt Transfer привела к волне раскрытий информации об утечке данных

Критическая ошибка нулевого дня в продукте MoveIt Transfer компании Progress Software привела к волне атак на такие организации, как поставщик программного обеспечения для управления персоналом Zellis, а также правительство Новой Шотландии, Канада.

Об уязвимости стало известно 31 мая, когда компания Progress подробно описала ошибку внедрения SQL, которая теперь отслеживается как CVE-2023-34362, в своем программном обеспечении для управляемой передачи файлов (MFT) MoveIt Transfer. Компания Progress призвала клиентов немедленно принять меры по устранению уязвимости, которая уже подвергалась атаке, пока она работала над исправлением, которое было выпущено позже в тот же день. Поставщики средств безопасности, такие как Rapid7, вскоре после этого сообщили, что уязвимость активно используется. Microsoft в воскресенье опубликовала новое исследование, в котором приписывает атаку злоумышленнику, которого она назвала «Lace Tempest», который был связан с бандой вымогателей Clop.

Несколько организаций уже подтвердили утечку данных, произошедшую в результате уязвимости, либо непосредственно из-за уязвимости, либо из-за нее. Британская компания Zellis заявила в заявлении для прессы в понедельник, что «небольшое количество наших клиентов пострадало от этой глобальной проблемы, и мы активно работаем над их поддержкой».

«Как только нам стало известно об этом инциденте, мы приняли немедленные меры, отключив сервер, на котором используется программное обеспечение MoveIt, и привлекли экспертную внешнюю группу реагирования на инциденты безопасности для оказания помощи в судебно-медицинском анализе и постоянном мониторинге», — говорится в заявлении. «Мы также уведомили ICO, DPC и NCSC как в Великобритании, так и в Ирландии. Мы применяем надежные процессы безопасности во всех наших сервисах, и все они продолжают работать в обычном режиме».

BBC, British Airways (BA) и британский ритейлер Boots подтвердили атаки, вызванные этой уязвимостью, а BA подтвердила дочернему изданию TechTarget ComputerWeekly, что взлом начался после взлома Zellis.

Правительство Новой Шотландии, Канада, также подтвердило во вторник атаку, связанную с MoveIt Transfer, в пресс-релизе. Правительство подсчитало, что личные данные около 100 000 бывших и нынешних государственных служащих могли быть скомпрометированы в результате взлома.

«Провинция установила, что личная информация многих сотрудников Nova Scotia Health, медицинского центра IWK и государственных служб была украдена в результате глобального нарушения кибербезопасности MoveIt», — говорится в пресс-релизе. «На данный момент провинциальное расследование показывает, что номера социального страхования, адреса и банковская информация были украдены. Объем и тип информации зависят от работодателя. Эта информация была передана через службу передачи файлов MoveIt, поскольку эта служба используется для передачи заработной платы сотрудникам. информация."

Рочестерский университет в Нью-Йорке сообщил о взломе 2 июня, хотя и не упомянул MoveIt Transfer по имени. Источником атаки, которой она подверглась, было названо «уязвимость программного обеспечения в продукте, предоставленном сторонней компанией по передаче файлов», которая «затронула университет и примерно 2500 организаций по всему миру».

«В настоящее время мы считаем, что преподаватели, сотрудники и студенты могут пострадать, но мы еще не знаем полного масштаба воздействия на членов университетского сообщества или к каким личным данным был получен доступ, поскольку расследование продолжается», — говорится в сообщении об утечке. читать. «Мы предоставим обновления, как только они станут доступны».

Редакция TechTarget связалась с университетом, чтобы подтвердить, связана ли атака с MoveIt Transfer, но на момент публикации университет не ответил.

Ранее на этой неделе компания Clop объявила на своем сайте утечки данных, что начнет публиковать на сайте имена жертв, если эти организации не свяжутся с бандой вымогателей до 14 июня. Банда, которая называет себя «одной из ведущих организаций» [ которая] предлагает услуги по тестированию на проникновение постфактум», заявила, что начнет публиковать данные жертв через семь дней, если оплата не будет произведена.

Как ни странно, Clop также заявил, что удалил все данные правительственных учреждений, городских служб или полицейских управлений и что таким организациям нет необходимости связываться с бандой вымогателей. «Мы не заинтересованы в раскрытии такой информации», — сказал Клоп.