дослідники розповіли, як хакери використовують уразливість в По Accellion, щоб вкрасти дані

Останнім часом відбулося кілька великих кібератак на різні організації по всьому світу. Хакери використовували вразливість в програмному забезпеченні Accellion, яке дозволяє передавати великі файли через інтернет . Вони отримали доступ до чутливих даних клієнтів Accellion і намагаються вимагати гроші за їх повернення або нерозповсюдження, повідомив Reuters 3 червня 2023 року.

Про дослідження

Розглянута атака на Accellion виявилася складною і цілеспрямованою, її результати описуються, як серйозні і масштабні, а збиток від неї воістину величезний. Автори відзначають, що цього можна було уникнути, якби компанія і її клієнти своєчасно оновлювали ПЗ і використовували більш сучасні рішення.

• Автори: фахівці з кібербезпеки з різних компаній та організацій: FireEye, Mandiant, Qualys та KPMG.
• Мета: дізнатися, яким чином хакери використовували вразливість в ПЗ, які дані викрали, як вимагали гроші у жертв і які збитки вони завдали різним секторам і регіонам.
• Об'єкт дослідження: за Accellion, програмне забезпечення , що дозволяє користувачам передавати великі файли через Інтернет. Воно використовується багатьма великими організаціями, які хочуть обмінюватися конфіденційними даними безпечно і швидко.

Методи та об'єкти дослідження

Дослідники використовували певний перелік методик, щоб відповісти на питання щодо події:

• Аналіз журналів, тобто вивчення записів активності на серверах і системах, щоб визначити, коли, як і ким була здійснена атака.
• Зворотний інжиніринг, або розбір шкідливого коду, який використовували хакери, щоб зрозуміти, як він працює, які уразливості він експлуатує і які дані він викрадає.
• Порівняння сигнатур, або зіставлення характеристик атаки з відомими зразками поведінки зловмисників, щоб визначити, хто стоїть за атакою і які у них мотиви.
• Моніторинг порушень даних, тобто відстеження того, де і як з'являються вкрадені дані в Інтернеті, щоб оцінити масштаби та наслідки атаки.
• Оцінка збитків: вимірювання того, як атака вплинула на роботу та репутацію постраждалих організацій, а також на безпеку та конфіденційність їхніх клієнтів та партнерів.

Серед жертв хакерського угруповання називають наступні:

• Урядові установи, університети, банки, телекомунікаційні компанії тощо.
• В Австралії викрадено дані з Центрального банку, австралійського регулятора цінних паперів та інвестицій (ASIC) та Університету Квінсленда.
• В США постраждали Комісія з цінних паперів і бірж (SEC), Департамент транспорту штату Вашингтон і Джонс Хопкінс університет.
• В Європі атакований Європейський банк реконструкції та розвитку( EBRD), норвезький парламент і Shell .

Результати та рекомендації

Дослідникам вдалося дізнатися, що зловмисники використовували 4 Zero-day уразливості, які раніше не були відомі розробникам, а тому не існувало оновлень і патчів для вирішення проблеми злому FTA.

• Самі хакери належать до групи FIN11, яка пов'язана з найменуванням Clop і спеціалізується на вимаганні та крадіжці даних.
• Хакери атакували близько 100 організацій у різних країнах та галузях, включаючи уряд, охорону здоров'я, Фінанси та Освіта , викравши мільйони файлів, що містять особисту інформацію, фінансові звіти, дані про Здоров'я та інші конфіденційні дані.
• Зловмисники публікували вкрадені дані на тіньових сайтах і вимагали від жертв викуп у розмірі від 10 до 50 млн.доларів за їх видалення.

Дослідники описали рекомендації, які варто застосувати, щоб убезпечити себе від подібних випадків в майбутньому:

• Оновлення програмного забезпечення.
• Перехід на більш сучасні рішення шляхом заміни застарілих та вразливих продуктів, включаючи ЗВТ, на новіші та безпечніші альтернативи, такі як Kitework, WeTransfer, Slack або інші сервіси для обміну файлами онлайн.
• Моніторити і захищати дані, відстеження, де і як використовуються дані.
• Посилити шифрування і аутентифікацію, використовувати багатофакторну верифікацію та інші заходи для запобігання несанкціонованого доступу.

Представники Accellion стверджують, що вони виправили вразливість у своєму програмному забезпеченні і що вони вже працюють з клієнтами та правоохоронними органами для розслідування інциденту.