Lỗ hổng chuyển tập tin Cleo đang bị khai thác – Bản vá đang chờ xử lý, Khuyến khích giảm thiểu
Người dùng phần mềm truyền tệp do Cleo quản lý đang được khuyến cáo đảm bảo rằng phiên bản của họ không bị lộ ra internet sau các báo cáo về việc khai thác hàng loạt lỗ hổng ảnh hưởng đến các hệ thống đã được vá đầy đủ.
Công ty an ninh mạng Huntress cho biết họ đã phát hiện bằng chứng về việc tin tặc khai thác vấn đề này hàng loạt vào ngày 3 tháng 12 năm 2024. Lỗ hổng bảo mật ảnh hưởng đến phần mềm LexiCom, VLTransfer và Harmony của Cleo liên quan đến trường hợp thực thi mã từ xa chưa được xác thực.
Lỗ hổng bảo mật được theo dõi là CVE-2024-50623, Cleo lưu ý rằng lỗ hổng này là kết quả của việc tải tệp lên không hạn chế, có thể mở đường cho việc thực thi mã tùy ý.
Công ty có trụ sở tại Illinois, có hơn 4.200 khách hàng trên toàn thế giới, kể từ đó đã ban hành một khuyến cáo khác (CVE đang chờ xử lý), cảnh báo về "lỗ hổng máy chủ độc hại chưa xác thực có thể dẫn đến thực thi mã từ xa".
Sự phát triển này diễn ra sau khi Huntress cho biết các bản vá được phát hành cho CVE-2024-50623 không hoàn toàn giảm thiểu được lỗi phần mềm cơ bản. Sự cố này ảnh hưởng đến các sản phẩm bên dưới và dự kiến sẽ được vá vào cuối tuần này -
- Cleo Harmony (lên đến phiên bản 5.8.0.23)
- Cleo VLTrader (lên đến phiên bản 5.8.0.23)
- Cleo LexiCom (lên đến phiên bản 5.8.0.23)
Trong các cuộc tấn công được công ty an ninh mạng phát hiện, lỗ hổng bảo mật này được phát hiện có thể bị khai thác để thả nhiều tệp, bao gồm tệp XML được cấu hình để chạy lệnh PowerShell nhúng có nhiệm vụ truy xuất tệp Java Archive (JAR) giai đoạn tiếp theo từ máy chủ từ xa.
Cụ thể, các cuộc xâm nhập này lợi dụng các tệp dữ liệu được đặt trong thư mục con "autorun" trong thư mục cài đặt và được phần mềm dễ bị tấn công đọc, diễn giải và đánh giá ngay lập tức.
Có ít nhất 10 doanh nghiệp đã bị xâm phạm máy chủ Cleo, với mức tăng đột biến về khai thác được ghi nhận vào ngày 8 tháng 12 năm 2024, vào khoảng 7 giờ sáng UTC. Bằng chứng thu thập được cho đến nay xác định ngày thăm dò sớm nhất là ngày 3 tháng 12 năm 2024.
Các tổ chức nạn nhân bao gồm các công ty sản phẩm tiêu dùng, các tổ chức hậu cần và vận chuyển, và các nhà cung cấp thực phẩm. Người dùng được khuyên nên đảm bảo phần mềm của họ được cập nhật để đảm bảo rằng họ được bảo vệ khỏi mối đe dọa.
Các nhóm ransomware như Cl0p (hay còn gọi là Lace Tempest) trước đây đã từng nhắm đến nhiều công cụ truyền tệp được quản lý và có vẻ như hoạt động tấn công mới nhất cũng không ngoại lệ.
Theo nhà nghiên cứu bảo mật Kevin Beaumont (hay còn gọi là GossiTheDog), "Những người điều hành nhóm ransomware Termite (và có thể là các nhóm khác) có lỗ hổng zero-day đối với Cleo LexiCom, VLTransfer và Harmony."
Công ty an ninh mạng Rapid7 cho biết họ cũng đã xác nhận việc khai thác thành công vấn đề Cleo đối với môi trường khách hàng. Điều đáng chú ý là Termite đã nhận trách nhiệm về cuộc tấn công mạng gần đây vào công ty chuỗi cung ứng Blue Yonder.
Nhóm Symantec Threat Hunter của Broadcom nói với The Hacker News rằng "Termite dường như đang sử dụng phiên bản đã sửa đổi của phần mềm tống tiền Babuk , khi thực thi trên máy tính, phần mềm này sẽ mã hóa các tệp mục tiêu và thêm phần mở rộng .termite".
Dữ liệu được chia sẻ bởi công ty quản lý bề mặt tấn công Censys cho thấy có 1.342 trường hợp Cleo Harmony, VLTrader và LexiCom bị lộ trực tuyến. Gần 79% máy chủ công khai nằm ở Hoa Kỳ, tiếp theo là Canada, Mexico, Ireland và Đức.
Jamie Levy, Giám đốc Chiến thuật Đối thủ của Huntress, phát biểu với ấn phẩm này rằng: "Vì chúng tôi thấy Blue Yonder có một phiên bản phần mềm của Cleo được mở trên internet thông qua Shodan, và Termite đã tuyên bố Blue Yonder là một trong những nạn nhân của mình, điều này cũng được xác nhận thông qua danh sách và danh mục tệp mở của họ, tôi cho rằng Gossi đã đúng trong tuyên bố của mình".
"Theo như những gì đã biết, đã có một số tin đồn rằng Termite có thể là Cl0p mới, có một số dữ liệu dường như ủng hộ điều này vì hoạt động của Cl0p đã giảm trong khi hoạt động của Termite lại tăng. Chúng cũng đang hoạt động theo một số cách tương tự. Chúng tôi không thực sự tham gia vào trò chơi quy kết, nhưng sẽ không có gì đáng ngạc nhiên nếu chúng tôi thấy sự thay đổi trong các băng nhóm ransomware này tại thời điểm này."
Cập nhật[#](#update)
Người phát ngôn của Cleo đã chia sẻ tuyên bố sau với The Hacker News -
_“Chúng tôi đã xác định được một_ _lỗ hổng nghiêm trọng_ _trong các sản phẩm Cleo Harmony, VLTrader và LexiCom. Ngay sau khi phát hiện ra lỗ hổng, chúng tôi đã tiến hành điều tra với sự hỗ trợ của các chuyên gia an ninh mạng bên ngoài, thông báo cho khách hàng về vấn đề này và cung cấp các bước giảm thiểu mà khách hàng nên thực hiện ngay để giải quyết lỗ hổng trong khi bản vá đang được phát triển. Cuộc điều tra của chúng tôi vẫn đang tiếp tục. Khách hàng được khuyến khích thường xuyên kiểm tra trang web bản tin bảo mật của Cleo để biết thông tin cập nhật. Cleo vẫn tập trung vào việc hỗ trợ khách hàng và đã mở rộng dịch vụ hỗ trợ khách hàng 24/7 nâng cao cho những khách hàng cần hỗ trợ kỹ thuật bổ sung để giải quyết lỗ hổng này.”_