Исследователи рассказали, как хакеры используют уязвимость в ПО Accellion, чтобы украсть данные

Опытные хакеры целенаправленно эксплуатировали уязвимость в инструменте передачи файлов под названием Accellion, в результате чего украли конфиденциальные данные многих организаций

В последнее время произошло несколько крупных кибератак на различные организации по всему миру. Хакеры использовали уязвимость в программном обеспечении Accellion, которое позволяет передавать большие файлы через Интернет. Они получили доступ к чувствительным данным клиентов Accellion и пытаются вымогать деньги за их возвращение или нераспространение, сообщил Reuters 3 июня 2023 года.

Об исследовании

Рассматриваемая атака на Accellion оказалась сложной и целенаправленной, ее результаты описываются, как серьезные и масштабные, а ущерб от нее поистине огромный. Авторы отмечают, что этого можно было избежать, если бы компания и ее клиенты своевременно обновляли ПО и использовали более современные решения.

Авторы: специалисты по кибербезопасности из разных компаний и организаций: FireEye, Mandiant, Qualys и KPMG.
Цель: узнать, каким образом хакеры использовали уязвимость в ПО, какие данные похитили, как вымогали деньги у жертв и какие ущербы они нанесли разным секторам и регионам.
Объект исследования: ПО Accellion, Программное обеспечение, которое позволяет пользователям передавать большие файлы через интернет. Оно используется многими крупными организациями, которые хотят обмениваться конфиденциальными данными безопасно и быстро.

Методы и объекты исследования

Исследователи использовали определенный перечень методик, чтобы ответить на вопросы относительно события:

Анализ логов, т. е. изучение записей активности на серверах и системах, чтобы определить, когда, как и кем была совершена атака.
Обратный инжиниринг, или разбор вредоносного кода, который использовали хакеры, чтобы понять, как он работает, какие уязвимости он эксплуатирует и какие данные он похищает.
Сравнение сигнатур, или сопоставление характеристик атаки с известными образцами поведения злоумышленников, чтобы определить, кто стоит за атакой и какие у них мотивы.
Мониторинг утечек данных, т. е. отслеживание того, где и как появляются украденные данные в интернете, чтобы оценить масштабы и последствия атаки.
Оценка ущерба: измерение того, как атака повлияла на работу и репутацию пострадавших организаций, а также на безопасность и конфиденциальность их клиентов и партнеров.

Среди жертв хакерской группировки называют следующие:

Правительственные агентства, университеты, банки, телекоммуникационные компании и т. д.
В Австралии украдены данные из Центрального банка, Австралийского регулятора ценных бумаг и инвестиций (ASIC) и Университета Квинсленда.
В США пострадали Комиссия по ценным бумагам и биржам (SEC), Департамент транспорта штата Вашингтон и Джонс Хопкинс Университет.
В Европе атакован Европейский банк реконструкции и развития (EBRD), Норвежский парламент и Shell.

Результаты и рекомендации

Исследователям удалось узнать, что злоумышленники использовали 4 zero-day уязвимости, которые ранее не были известны разработчикам, а потому не существовало обновлений и патчей для решения проблемы взлома FTA.

Сами хакеры принадлежат к группе FIN11, которая связана с наименованием Clop и специализируется на вымогательстве и краже данных.
Хакеры атаковали около 100 организаций в разных странах и отраслях, включая правительство, здравоохранение, финансы и Образование, похитив миллионы файлов, содержащих личную информацию, финансовые отчеты, данные о Здоровье и другие конфиденциальные данные.
Злоумышленники публиковали украденные данные на теневых сайтах и требовали от жертв выкуп в размере от 10 до 50 млн. долларов за их удаление.

Исследователи описали рекомендации, которые стоит применить, чтобы обезопасить себя от подобных случаев в будущем:

Обновлять программное обеспечение.
Переходить на более современные решения посредством замены устаревших и уязвимых продуктов, включая FTA, на более новые и безопасные альтернативы, такие как Kitework, WeTransfer, Slack или другие сервисы для обмена файлами онлайн.
Мониторить и защищать данные, отслеживания, где и как используются данные.
Усилить шифрование и аутентификацию, использовать многофакторную верификацию и другие меры для предотвращения несанкционированного доступа.

Представители Accellion утверждают, что они исправили уязвимость в своем программном обеспечении и что уже работают с клиентами и правоохранительными органами для расследования инцидента.