Sono trascorsi quasi tre mesi da quando è stata individuata e risolta una vulnerabilità nel popolare App per il trasferimento di file MOVEit, eppure l’elenco delle aziende e delle agenzie governative colpite dalla violazione di MOVEit continua ad allungarsi. E questa ondata di violenza non accenna a placarsi.
Secondo alcune stime, finora potrebbero essere stati colpiti da una vulnerabilità zero-day di MOVEit, resa nota alla fine di maggio, oltre 40 milioni di persone e almeno 600 organizzazioni pubbliche e private. L’ultima vittima di grande rilievo è l’ IBM , che, come confermato da la scorsa settimana, ha dichiarato che l’utilizzo dell’applicazione MOVEit potrebbe aver comportato la divulgazione di milioni di cartelle cliniche di persone conservate presso le agenzie statali del Colorado e del Missouri. Questi attacchi, perpetrati in gran parte dalla banda russa Clop, autrice del ransomware , hanno colpito tutti i livelli dell’amministrazione pubblica, nonché università, ospedali, banche, fondi pensione, operatori di borsa, fornitori di tecnologia, compagnie assicurative, commercialisti e un sito di gioco d’azzardo online.
Non sorprende che le azioni legali relative all’incidente informatico stiano aumentando a dismisura. Progress Software Corp., produttrice di MOVEit, è oggetto di almeno 13 cause relative a “ ” presso vari tribunali federali degli Stati Uniti, secondo quanto riportato da The Wall Street Journal. E poiché i clienti di MOVEit sono centinaia di migliaia, gli avvocati stanno contattando freneticamente le persone che hanno ricevuto le lettere relative alla violazione dei dati di MOVEit per verificare se desiderino partecipare alle azioni collettive intentate d .
Solo nelle ultime settimane sono state intentate azioni legali contro l’Università di Rochester, la Teachers Insurance and Annuity Association, l’Università Johns Hopkins, la Maximus Federal Services e la Pension Benefit Information (un fornitore di servizi del California Public Employees’ Retirement System), tutte citate in giudizio a causa della violazione.
Il che pone un problema del tutto nuovo per un software ormai molto datato. I sistemi di trasferimento file consentono di trasferire dati ormai da decenni e sono considerati fondamentali per il commercio.
«I programmi di trasferimento file presentano notoriamente problemi di sicurezza, poiché i dati che gestiscono sono spesso privi di crittografia.»”Tim Morris, responsabile della sicurezza, Tanium
«I dati sono la linfa vitale per la maggior parte delle organizzazioni», afferma Tim Morris, responsabile della sicurezza presso Tanium, un’azienda leader nel settore del software per la sicurezza informatica (nonché editore di Focal Point). «Tuttavia, i programmi di trasferimento file presentano notoriamente problemi di sicurezza, poiché i dati che gestiscono sono spesso privi di crittografia. Se a ciò si aggiungono vulnerabilità come quelle riscontrate in MOVEit, i gruppi criminali informatici avranno campo libero per sfruttare tali vulnerabilità.”
Fortunatamente, esistono misure che le aziende possono adottare per evitare di essere coinvolte in questa massiccia violazione dei dati.
Perché la violazione di MOVEit rappresenta un problema così grave
Per prevenire il problema, è utile comprenderne le cause. Sul sito 31 maggio, Progress ha annunciato di essere venuta a conoscenza di una vulnerabilità di tipo MOVEit SQL injection, che consente agli hacker di ottenere l’accesso alla rete o il controllo della stessa inserendo codice dannoso nei campi di immissione dati. Progress ha avviato immediatamente un'indagine, ha avvisato i clienti di MOVEit, ha fornito misure di mitigazione e ha rilasciato una patch 48 ore dopo.
"Molte organizzazioni sono state infatti in grado di applicare la patch prima che potesse essere sfruttata", ha dichiarato a Reuters Eric Goldstein, alto funzionario dell'Agenzia statunitense per la sicurezza informatica e delle infrastrutture.
Se si fosse trattato di molte altre vulnerabilità, la patch avrebbe potuto essere sufficiente a evitare problemi su larga scala. Tuttavia, in questo caso, gli hacker del gruppo Clop erano già a conoscenza della vulnerabilità di MOVEit, simile alla vulnerabilità zero-day di GoAnywhere MFT emersa a gennaio, e avevano iniziato a sferrare attacchi prima ancora che Progress emettesse l’avviso.
In altre parole, gli hacker avevano un vantaggio iniziale. E se si dà ascolto a Progress, proprio questo aspetto, insieme all’aggressività di Clop e alla natura sempre più interconnessa dei dati, del software e delle catene di fornitura nel nostro mondo digitale, costituisce uno dei motivi principali per cui così tante agenzie e aziende stanno ancora scoprendo di aver subito violazioni di MOVEit.
L’altro motivo, secondo gli esperti, è che molte aziende non hanno preso sul serio quanto avrebbero dovuto la necessità di applicare le patch.
Come porre rimedio alla procrastinazione? Questo potrebbe essere il vero responsabile del problema con MOVEit
È difficile stabilire se ciò sia vero o meno. Tuttavia, alcuni ricercatori nel campo della sicurezza, come Huntress, che sono riusciti a ricreare la catena di attacco comunemente utilizzata per sfruttare la vulnerabilità di MOVEit, hanno affermato che la patch di Progress Software “” contrasta efficacemente l’exploit da noi ricreato.
“It’s very Log4j-esque.”John Hammond, ricercatore nel campo della sicurezza informatica, Huntress
I dati raccolti indicano che molte organizzazioni probabilmente non hanno installato la patch perché potrebbero non aver preso la minaccia sul serio quanto avrebbero dovuto oppure non disponevano del tempo e delle risorse necessari per procedere con sufficiente rapidità. Inoltre, poiché MOVEit viene utilizzato lungo l’intera catena di approvvigionamento, è del tutto possibile che alcune organizzazioni IT non fossero nemmeno a conoscenza del fatto che loro stesse o i loro partner utilizzassero tale prodotto per il trasferimento di file.
In that sense, “it’s very Log4j-esque,” says John Hammond, a cybersecurity researcher with Huntress, referring to the Apache vulnerability that’s been a persistent threat since its discovery in novembre 2021. Secondo alcune stime, il 72% delle organizzazioni è ancora esposto a tale rischio.
Come ridurre al minimo il rischio derivante dalla violazione di MOVEit
Allora, cosa può fare un’organizzazione se non ha ancora adottato misure per proteggersi? Gli esperti raccomandano le seguenti precauzioni:
1. Revisione contabile
È necessario verificare se Lei o i Suoi fornitori dispongano di MOVEit e se ciò possa avere ripercussioni sulla Sua attività. Effettui un inventario delle applicazioni e delle risorse di per verificare se nel Suo stack tecnologico sono presenti server MOVEit. Le consigliamo inoltre di contattare i fornitori e di richiederne la responsabilità in merito alla sicurezza di tutte le tecnologie da loro utilizzate. L'azienda tecnologica Prevalent mette a disposizione un elenco di domande che potrebbero tornarvi utili durante queste conversazioni. «Anche se ciò di cui dispongono non rientra nelle vostre competenze, si tratta comunque di un elemento che influisce sulla sicurezza delle vostre operazioni», afferma Hammond.
2. Patch
È ovvio dirlo, ma state mettendo a rischio l’esistenza della vostra azienda, la sua reputazione e la sua posizione giuridica se non installate tutte le patch disponibili all’indirizzo . Progress ha dichiarato che d'ora in poi rilascerà i service pack ogni due mesi circa. Fate attenzione a quelli. A quanto pare, la maggior parte delle organizzazioni comprende la necessità di effettuare l’aggiornamento e ha agito 21 volte più rapidamente rispetto a quanto generalmente ritenuto necessario per risolvere questo problema, secondo un rapporto di Bitsight. Di conseguenza, il numero di organizzazioni vulnerabili a tale vulnerabilità è diminuito del somewhat—77%; secondo quanto rilevato da Bitsight, le organizzazioni originariamente interessate non sono più vulnerabili. Ovviamente, ciò significa che il 23% rimane esposto agli attacchi.
[Leggi anche: Che cos’è l’automazione della sicurezza?]
3. Disattivare
Progress raccomanda inoltre di disabilitare tutto il traffico HTTP e HTTPS verso il Suo ambiente MOVEit Transfer come misura di mitigazione importante. Più precisamente, è necessario modificare le regole del firewall in modo da bloccare il traffico HTTP e HTTPS diretto a MOVEit Transfer sulle porte 80 e 443 fino a quando non sarà possibile applicare la patch.
4. Segmento
Tim Morris, di Tanium, raccomanda inoltre di prestare particolare attenzione alla posizione in cui vengono archiviati i dati e di assicurarsi che non rimangano nello stesso luogo di MOVEit per un periodo di tempo prolungato. «Trasferendo i dati dall’edge a un luogo più sicuro, si riduce efficacemente il “raggio d’azione”», afferma Morris. «Ciò limita ciò che un malintenzionato può sottrarre e riduce al minimo l’impatto del bug, rendendo MOVEit un sistema di “ proxy ” in grado di trasferire rapidamente i dati senza però memorizzarli.»
5. Monitor
Morris afferma che è inoltre fondamentale monitorare le porte di rete, i protocolli e i servizi, nonché assicurarsi che le configurazioni di sicurezza sui dispositivi dell’infrastruttura di rete, quali router e firewall, siano attivate.
6. Rafforzare
Gli esperti suggeriscono inoltre una serie di misure di sicurezza informatica basate sul buon senso, disponibili all’indirizzo , tra cui:
- Aggiornamento delle regole del firewall di rete per consentire le connessioni all’infrastruttura MOVEit esclusivamente da indirizzi IP attendibili.
- La verifica e la rimozione degli account degli utenti non autorizzati rappresentano un’attività fondamentale che troppo spesso viene relegata in fondo alla lista delle priorità in materia di sicurezza di un’organizzazione.
- Limitare l'accesso ai file alle persone già autenticate dalla rete, concedendo i privilegi di amministratore solo laddove sia assolutamente necessario.
- Aggiornamento delle politiche di accesso remoto per consentire connessioni in entrata solo da indirizzi IP attendibili.
- Attivazione dell’autenticazione a più fattori (MFA) di per proteggere gli account MOVEit da utenti non verificati.
- Crittografare preventivamente i file sensibili utilizzando algoritmi reali come l’Advanced Encryption Standard (AES), un algoritmo di cifratura a blocchi simmetrico in grado di crittografare e decrittografare rapidamente le informazioni trasferite (si pensi all’AES come a un codice segreto estremamente sicuro che trasforma i messaggi in una sequenza di caratteri senza senso comprensibile solo alla persona autorizzata).
7. Osservare
Proprio come i registi di Hollywood, anche gli hacker seguono le tendenze. Se i ricercatori individuano una vulnerabilità in una determinata categoria di software e le organizzazioni dedite al ransomware la sfruttano a proprio vantaggio, tendono a verificarsi in seguito difetti simili e attacchi informatici analoghi.
Gli attacchi tramite trasferimento di file sono molto diffusi in questo periodo, e questa potrebbe non essere l’ultima volta che sentiremo parlare di vulnerabilità che coinvolgono MOVEit. Anche qualora le forze dell’ordine riuscissero, a un certo punto, a smantellare Clop, rimane di fondamentale importanza leggere le notizie, prestare attenzione agli avvisi e alle comunicazioni dei fornitori e verificare la presenza di indicatori noti di compromissione, poiché ci saranno sempre soggetti malintenzionati. Per gli aggiornamenti su MOVEit Transfer, , consulti questa pagina:. Per MOVEit Cloud, , consultate questa pagina:.
«Ho la sensazione che le violazioni di MOVEit costituiranno un problema per molto più tempo di quanto avessimo inizialmente previsto, causando ogni sorta di grattacapo e costi elevati», afferma Morris. «Tuttavia, se applicate le patch e adottate misure ragionevoli di sicurezza informatica, dovreste riuscire a ridurre al minimo il rischio di essere colpiti da questo problema.»
