Поредната уязвимост е нулев ден, който е причина за пробив в над 100 организации. Е, уязвимостта не е отговорна. Групата за рансъмуер CL0P използваше уязвимостта – CVE-2023-0996. Всичко започна през февруари, когато имаше потвърдени съобщения, че CL0P експлоатира уязвимостта и е отговорна за много пробиви, по-точно 130. Въпреки това през март, а дори и днес, групата CL0P продължава да добавя предполагаеми жертви с висока скорост. Въз основа на страницата за твърдения и изнудвания на CL0P броят на пробитите организации е доста над 200, което е само от публично съобщените твърдения за изнудвания. Някои от публикуваните изнудвания през последния месец включват Bissell, City of Toronto, Hitachi, Procter & Gamble, Rubrik и Virgin.

CVE-2023-0996 е уязвимост в решението Managed File Transfer (MFT) на GoAnywhere. GoAnywhere MFT е продукт от портфолиото за киберсигурност на Fortra. Ако не знаете коя е Fortra, тя има и друг добре познат продукт, наречен Cobalt Strike – често използван инструмент за емулация на заплахи, използван както от тестери на проникване, така и от злонамерени хакери. Това е забележително, защото е известно, че CL0P използва Cobalt Strike за своите хакерски усилия. И така, CL0P е използвал продукт на Fortra, за да експлоатира друг продукт на Fortra.

Уязвимостта позволява на нападателите да получат отдалечено изпълнение на код (RCE) от открити административни конзоли. NIST описва експлойта нулев ден: „Fortra (бивш, HelpSystems) GoAnywhere MFT страда от уязвимост при инжектиране на команда преди удостоверяване в License Response Servlet поради десериализиране на произволен обект, контролиран от атакуващия. Този проблем е поправен във версия 7.1.2.“ Също така, въз основа на честотата на атаките, някои смятат, че групата CL0P ги е автоматизирала. Добре написаният технически преглед, който можете да намерите тук, го описва в достатъчна степен.