Η συμμορία Clop ransomware δήλωσε στο BleepingComputer ότι βρίσκεται πίσω από τις επιθέσεις κλοπής δεδομένων MOVEit Transfer, στις οποίες αξιοποιήθηκε μια ευπάθεια zero-day για την παραβίαση διακομιστών πολλών εταιρειών και την κλοπή δεδομένων.
Αυτό επιβεβαιώνει την απόδοση της Microsoft το βράδυ της Κυριακής στην ομάδα hacking που παρακολουθεί ως “Lace Tempest”, επίσης γνωστή ως TA505 και FIN11.
Ο εκπρόσωπος της Clop επιβεβαίωσε περαιτέρω ότι είχε αρχίσει να εκμεταλλεύεται την ευπάθεια στις 27 Μαΐου, κατά τη διάρκεια της μεγάλης αργίας Memorial Day στις ΗΠΑ, όπως είχε ήδη γνωστοποιηθεί από την Mandiant.
Δείτε επίσης: AI & κυβερνοασφάλεια: Πλεονεκτήματα, προκλήσεις και προβλέψεις
Το μέλλον της φιλοξενίας: Το πρώτο 3D-printed ξενοδοχείο
Η επιχείρηση Clop ransomware είναι γνωστό ότι συνήθως πραγματοποιεί επιθέσεις κατά τη διάρκεια των διακοπών, έχοντας προηγουμένως αναλάβει exploitation μεγάλης κλίμακας σε περιόδους όπου το προσωπικό είναι ελάχιστο λόγω διακοπών.
Για παράδειγμα, εκμεταλλεύτηκαν μια παρόμοια ευπάθεια zero-day του Accellion FTA στις 23 Δεκεμβρίου 2020, για να κλέψουν δεδομένα ακριβώς στην αρχή των διακοπών των Χριστουγέννων.
Ενώ η Clop δεν μοιράστηκε τον αριθμό των οργανισμών που παραβιάστηκαν στις επιθέσεις MOVEit Transfer, δήλωσε ότι τα θύματα θα εμφανίζονται στον ιστότοπό τους για τη διαρροή δεδομένων, εάν δεν καταβληθούν λύτρα.
Επιπλέον, η συμμορία ransomware επιβεβαίωσε ότι δεν είχε αρχίσει ακόμη να εκβιάζει τα θύματα, χρησιμοποιώντας πιθανότατα το χρόνο για να εξετάσει τα δεδομένα και να καθορίσει τι ήταν πολύτιμο και πώς θα μπορούσε να χρησιμοποιηθεί για να αυξήσει την απαίτηση λύτρων από τις εταιρείες που έχουν παραβιαστεί.
Στις πρόσφατες επιθέσεις GoAnywhere MFT της συμμορίας, η Clop περίμενε πάνω από ένα μήνα για να στείλει με email αιτήματα για λύτρα σε οργανισμούς.
Τέλος, η συμμορία ransomware δήλωσε στο BleepingComputer ότι διέγραψε όλα τα δεδομένα που είχαν κλαπεί από κυβερνήσεις, το στρατό και παιδικά νοσοκομεία κατά τη διάρκεια αυτών των επιθέσεων.
Το BleepingComputer δεν έχει τρόπο να επιβεβαιώσει αν αυτοί οι ισχυρισμοί είναι ακριβείς, και όπως και με κάθε επίθεση κλοπής δεδομένων, όλοι οι επηρεαζόμενοι οργανισμοί θα πρέπει να το αντιμετωπίσουν σαν να κινδυνεύουν τα δεδομένα να γίνουν αντικείμενο abuse.
Ενώ η Clop ξεκίνησε ως επιχείρηση ransomware, η ομάδα ενημέρωσε προηγουμένως το BleepingComputer ότι απομακρύνεται από την κρυπτογράφηση και προτιμά τον εκβιασμό με κλοπή δεδομένων.
Δείτε επίσης: Το SpinOk Android malware βρέθηκε και σε άλλα δημοφιλή apps
Εμφανίζονται τα πρώτα θύματα
Είδαμε επίσης τις πρώτες αποκαλύψεις από οργανισμούς που παραβιάστηκαν από τις επιθέσεις κλοπής δεδομένων MOVEit της Clop.
Η βρετανική εταιρεία παροχής λύσεων μισθοδοσίας και ανθρώπινου δυναμικού Zellis επιβεβαίωσε ότι υπέστη παραβίαση δεδομένων λόγω αυτών των επιθέσεων, οι οποίες επηρέασαν επίσης ορισμένους από τους πελάτες της.
“Ένας μεγάλος αριθμός εταιρειών σε όλο τον κόσμο έχει επηρεαστεί από μια ευπάθεια zero-day στο προϊόν MOVEit Transfer της Progress Software”, δήλωσε ο Zellis στο BleepingComputer, σε δήλωσή του.
“Μπορούμε να επιβεβαιώσουμε ότι ένας μικρός αριθμός πελατών μας έχει επηρεαστεί από αυτό το παγκόσμιο πρόβλημα και εργαζόμαστε ενεργά για την υποστήριξή τους. Όλο το λογισμικό που ανήκει στη Zellis δεν επηρεάζεται, και δεν υπάρχουν συναφή περιστατικά ή παραβιασμοί σε οποιοδήποτε άλλο τμήμα του IT estate μας”.
“Μόλις αντιληφθήκαμε αυτό το περιστατικό, αναλάβαμε άμεση δράση: αποσυνδέσαμε τον διακομιστή που χρησιμοποιεί το λογισμικό MOVEit και προσλάβαμε μια εξειδικευμένη εξωτερική ομάδα αντιμετώπισης περιστατικών ασφαλείας για να βοηθήσει με την εγκληματολογική ανάλυση και τη συνεχή παρακολούθηση. Ειδοποιήσαμε επίσης την ICO, την DPC και την NCSC τόσο στο Ηνωμένο Βασίλειο όσο και στην Ιρλανδία”.
Η Aer Lingus επιβεβαίωσε στο BleepingComputer ότι υπέστη παραβίαση λόγω της παραβίασης του Zellis MOVEit.
Δείτε επίσης: Το KeePass v2.54 διορθώνει το bug που διέρρευσε το cleartext master password
“Ωστόσο, έχει επιβεβαιωθεί ότι κανένα οικονομικό ή τραπεζικό στοιχείο που αφορά νυν ή πρώην υπαλλήλους της Aer Lingus δεν τέθηκε σε κίνδυνο σε αυτό το περιστατικό”, αναφέρεται σε ανακοίνωση της Aer Lingus.
“Επιβεβαιώθηκε επίσης ότι δεν παραβιάστηκαν στοιχεία τηλεφωνικής επικοινωνίας που αφορούν νυν ή πρώην υπαλλήλους της Aer Lingus”.
Η Record ανέφερε ότι η British Airways επιβεβαίωσε ότι η παραβίαση της Zellis τους επηρέασε.
Δυστυχώς, όπως είδαμε με προηγούμενες επιθέσεις Clop σε πλατφόρμες διαχείρισης μεταφοράς αρχείων, θα δούμε πιθανότατα μια παρατεταμένη ροή εταιρικών αποκαλύψεων όσο περνάει ο καιρός.
Πηγή πληροφοριών: bleepingcomputer.com
