Khai thác đã phát tán lỗi MOVEit RCE được sử dụng trong các cuộc tấn công đánh cắp dữ liệu

Các nhà nghiên cứu bảo mật của Horizon3 đã phát hành mã khai thác bằng chứng khái niệm (PoC) cho lỗi thực thi mã từ xa (RCE) trong giải pháp truyền tệp được quản lý MOVEit Transfer (MFT) bị nhóm ransomware Clop lạm dụng trong các cuộc tấn công đánh cắp dữ liệu.

Lỗ hổng nghiêm trọng này (được theo dõi là CVE-2023-34362) là một lỗ hổng SQL injection cho phép những kẻ tấn công không xác thực được quyền truy cập vào các máy chủ MOVEit chưa được vá và thực thi mã tùy ý từ xa.

Vài ngày sau ngày 31 tháng 5, sau khi nhóm ransomware Clop bắt đầu khai thác trên quy mô lớn dưới dạng zero-day, Progress đã phát hành các bản cập nhật bảo mật để vá lỗi và khuyên tất cả khách hàng nên áp dụng ngay lập tức để chặn hành động khai thác này.

Horizon3 đã công bố bản khai thác bằng chứng khái niệm (PoC) và phân tích kỹ thuật về lỗ hổng vào ngày 9 tháng 6, cũng như danh sách các chỉ báo về sự xâm nhập (IOC) mà các nhà bảo vệ mạng có thể sử dụng để phát hiện việc khai thác trên các máy chủ dễ bị tấn công.

Các nhà nghiên cứu của Horizon3 giải thích: “POC này lạm dụng thao tác SQL injection để lấy mã thông báo truy cập API quản trị hệ thống và sau đó sử dụng quyền truy cập đó để lạm dụng lệnh gọi quá trình tuần tự chuyển đổi (deserialization) nhằm thực thi mã từ xa”.

"POC này cần liên hệ với điểm cuối của Nhà cung cấp danh tính lưu trữ chứng chỉ RS256 phù hợp được sử dụng để giả mạo mã thông báo người dùng tùy ý - theo mặc định, POC này sử dụng điểm cuối IDP của chúng tôi được lưu trữ trong AWS."

Với việc phát hành khai thác RCE PoC này, nhiều tác nhân đe dọa có thể sẽ nhanh chóng triển khai trong các cuộc tấn công hoặc tạo các phiên bản tùy chỉnh của riêng chúng để nhắm mục tiêu bất kỳ máy chủ chưa được vá nào có khả năng truy cập Internet.

Tuy nhiên, do phương tiện truyền thông đưa tin rộng rãi về các cuộc tấn công khai thác lỗ hổng, dự kiến số lượng máy chủ MOVEit Transfer không an toàn trên internet giảm mạnh kể từ khi Clop bắt đầu khai thác lỗi.

Khai thác CVE-2023-34362 (Nhóm tấn công Horizon3)