Фирмата за корпоративна сигурност Barracuda разкри във вторник, че неотдавна поправен недостатък от типа „нулев ден“ в нейните устройства за защита на електронната поща (ESG) е бил използван от участници заплахи от октомври 2022 г. насам, за атаки на устройствата.
Последните констатации показват, че критичната уязвимост, проследена като CVE-2023-2868 (CVSS оценка: N/A), е била активно експлоатирана поне седем месеца преди откриването ѝ.
Недостатъкът, който Barracuda идентифицира на 19 май 2023 г., засяга версиите от 5.1.3.001 до 9.2.0.006 и може да позволи на отдалечен атакуващ да постигне изпълнение на код на податливи инсталации. Поправките бяха публикувани от Barracuda на 20 и 21 май.
„CVE-2023-2868 беше използван за получаване на неоторизиран достъп до подгрупа от устройства на ESG“, заяви компанията за мрежова и имейл сигурност в актуализирана консултация.
„Беше идентифициран злонамерен софтуер в подгрупа от уреди, позволяващ постоянен достъп до задна врата. В подгрупа от засегнатите устройства бяха открити доказателства за ексфилтрация на данни.“
До момента са открити три различни щама на зловреден софтуер –
- SALTWATER – Троянски модул за Barracuda SMTP демона (bsmtpd), който е оборудван за качване или изтегляне на произволни файлове, изпълнение на команди, както и за прокси и тунелиране на злонамерен трафик, за да се скрие под радара.
- SEASPY – Задна врата x64 ELF, която предлага възможности за устойчивост.
- SEASIDE – Модул за bsmtpd, базиран на Lua, установява обратни обвивки чрез SMTP HELO/EHLO команди, изпратени чрез сървъра за командване и контрол (C2) на зловредния софтуер.
Според компанията Mandiant, собственост на Google, която разследва инцидента, е установено припокриване на изходния код между SEASPY и backdoor с отворен код, наречен cd00r. Атаките не са приписани на известен хакер или група.
Миналата седмица Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) също добави грешката в своя каталог на известните експлоатирани уязвимости (KEV), като призова федералните агенции да приложат поправките до 16 юни 2023 г.
Barracuda не разкри колко организации са били пробити, но отбеляза, че с тях са били осъществени директни контакти с указания за смекчаване на последиците. Компанията също така предупреди, че продължаващата проверка може да открие допълнителни потребители, които може да са били засегнати.
