В прошлом месяце мы уже рассказывали о том, что с декабря 2020 года ИБ-эксперты фиксируют атаки на компании и организации, использующие устаревший файлообменный сервис Accellion FTA (File Transfer Application). Аналитики FireEye связали эту активность с хакерской группой FIN11 и предупреждали, что жертвами злоумышленников уже стали более 100 компаний.
По информации Accellion, среди примерно 300 клиентов FTA жертвами атак стали «менее 100», а среди них менее 25 пострадали от кражи данных. В FireEye уточняли, что некоторые из этих 25 клиентов подвергаются шантажу, и хакеры требуют у них выкуп.
Согласно последним экспертов, в рамках этой кампании хакеры эксплуатируют четыре уязвимости в FTA (CVE-2021-27101, CVE-2021-27102, CVE-2021-27103 CVE-2021-27104), а затем устанавливают веб-шелл DEWMODE и используют его для кражи файлов, хранящихся на FTA-устройствах жертв. После этого злоумышленники шантажируют пострадавших, требуя выкуп и угрожая слить похищенную информацию в открытый доступ.
Разработчики Accellion уже выпустили несколько «волн» исправлений, но каждый раз подчеркивали, что FTA уже давно является устаревшим продуктом, и призывали своих клиентов перейти на новую платформу Kiteworks. Недавно в компании и вовсе заявили, что окончательно прекратят поддержку FTA 30 апреля 2021 года.
Примечательно, что похищенные данные публикуются на сайте, который принадлежит операторам шифровальщика Clop, однако в сетях пострадавших компаний не было зашифровано ни одной машины. То есть все они стали жертвами взлома и классического вымогательства, а не атак шифровальщика.
Судя по всему, пока отказ от Accellion FTA идет медленно, к тому же две из уязвимостей (CVE-2021-27101 и CVE-2021-27104) были устранены Accellion в декабре 2020 года, но две другие проблемы (CVE-2021-27102 и CVE-2021-27103) были выявлены и исправлены лишь в январе 2021 года. В итоге новой жертвой этих злоумышленников стала Qualys, занимающаяся информационной безопасностью. Вчера на сайте Clop выложили скриншоты файлов, якобы принадлежащих Qualys. В их числе были заказы на покупку, счета-фактуры, налоговые документы и отчеты о сканированиях.
Как сообщает издание Bleeping Computer, Qualys действительно имела устройство Accellion FTA в своей сети, которое располагалось по адресу fts-na.qualys.com. Судя по данным Shodan, последний раз дейвайс был активен 18 февраля 2021 года и более не используется. Но злоумышленники все же успели скомпрометировать компанию.
Представители Qualys уже подтвердили, что их сервер Accellion FTA был взломан в декабре 2020 года, и атака затронула лишь малый процент клиентов. Также подчеркивается, что взломанный сервер был развернут в DMZ, которая отделена от внутренней сети компании, поэтому продуктовая среда компании не пострадала.
«Qualys подтверждает, что атака не оказала никакого влияния на производственные среды компании, кодовую базу или данные клиентов, размещенные на облачной платформе. Все платформы Qualys по-прежнему полностью функциональны, инцидент никак не повлиял на их работу», — гласит заявление компании.
Также в Qualys сообщили, что уже отказались от использования Accellion FTA, предоставив клиентам альтернативные способы передачи файлов.
Также стоит отметить, что четыре перечисленные выше уязвимости в Accellion FTA, это далеко не все баги в этом продукте. Недавно эксперты Mandiant выявил еще два ранее неизвестных недостатка в FTA (CVE-2021-27730 и CVE-2021-27731), которые были исправлены в патче 9.12.444, выпущенном 1 марта 2021 года.
