Progress Software, компанията, която стои зад приложението MOVEit Transfer, публикува кръпки за отстраняване на съвсем нови уязвимости с инжектиране на SQL, засягащи решението за прехвърляне на файлове, които могат да позволят кражба на поверителна информация.

„Установени са множество уязвимости за SQL инжектиране в уеб приложението MOVEit Transfer, които биха могли да позволят на неупълномощен нападател да получи неоторизиран достъп до базата данни на MOVEit Transfer“, заяви компанията в консултация, публикувана на 9 юни 2023 г.

„Атакуващият може да изпрати подготвен полезен товар до крайната точка на приложението MOVEit Transfer, което може да доведе до промяна и разкриване на съдържанието на базата данни на MOVEit.“

Недостатъците, които засягат всички версии на услугата, са отстранени във версиите на MOVEit Transfer 2021.0.7 (13.0.7), 2021.1.5 (13.1.5), 2022.0.5 (14.0.5), 2022.1.6 (14.1.6) и 2023.0.2 (15.0.2). Всички екземпляри на MOVEit Cloud са напълно поправени.

На фирмата за киберсигурност Huntress се приписва откриването и съобщаването на уязвимостите като част от прегледа на кода. Progress Software заяви, че не е забелязала признаци новооткритите недостатъци да се използват в реалността.

Развитието на ситуацията идва в момент, когато докладваната по-рано уязвимост MOVEit Transfer (CVE-2023-34362) е била подложена на интензивна експлоатация за пускане на уеб шелове в целеви системи.

Дейността се приписва на известната банда за изнудване Cl0p, която от декември 2020 г. насам има опит в организирането на кампании за кражба на данни и експлоатирането на грешки от типа „нулев ден“ в различни управлявани платформи за трансфер на файлове.

Фирмата за корпоративни разследвания и консултиране на риска Kroll също така откри доказателства, че бандата за киберпрестъпления е експериментирала с начини за експлоатиране на CVE-2023-34362 още през юли 2021 г., както и е разработвала методи за извличане на данни от компрометирани сървъри на MOVEit поне от април 2022 г.

Твърди се, че голяма част от злонамерената разузнавателна и тестова дейност през юли 2021 г. е била ръчна по характер, преди през април 2022 г. да се премине към автоматизиран механизъм за сондиране на множество организации и събиране на информация.

„Изглежда, че участниците в  Clop са имали завършен експлойт за прехвърляне на MOVEit по време на събитието GoAnywhere и са избрали да изпълнят атаките последователно, вместо паралелно“, заяви компанията. „Тези констатации подчертават значителното планиране и подготовка, които вероятно предшестват събитията за масова експлоатация.“

Бандитите от Cl0p също така са издали изнудваческо съобщение до засегнатите компании, в което ги призовават да се свържат с групата до 14 юни 2023 г. или откраднатата им информация ще бъде публикувана на сайта за изтичане на данни.