Jelentések az Aon szakmai szolgáltató céget a Termite zsarolóvírus-csoporthoz kapcsolták, amely állítólag a Cleo fájlátviteli szoftverének egy sebezhetőségét használta ki. A sebezhetőség azonosítója CVE-2024-50623. A történet még fejlődik, és a részletek számítanak. Íme egy tárgyilagos beszámoló az Aon Termite zsarolóvírus Cleo CVE-2024-50623 jelentésekről, arról, hogy mi állítható bizonyossággal, és hogy mit tegyenek azok a csapatok, amelyek bizalmas fájlokat mozgatnak.

Mi megerősített és mi csupán állítás

A kiindulópont a forrásjelentés: a jelentések az Aont a Termite zsarolóvírus-tevékenységhez kapcsolják, amely a Cleo fájlátviteli sebezhetőségét, a CVE-2024-50623-at használja ki. Ez a jelentések által létrehozott kapcsolat, nem pedig olyan megállapítás, amelyet önállóan ellenőrizni tudnánk.

Egy harmadik féltől származó elemző oldal egyik keresési találatának összefoglalója szerint az Aont 2026. október 7-én nyilvánosan zsarolóvírus-áldozatként jelentették. Ez egy másodlagos forrás leírása, amelyet idézünk, nem pedig tényként fogadunk el. A rendelkezésünkre álló anyag nem tartalmaz részletes nyilatkozatot az Aontól, technikai elemzést arról, hogyan történt bármilyen behatolás, sem megerősítést arról, hogy milyen adatokat – ha egyáltalán – elvittek.

Az óvatos értelmezés tehát a következő:

  • Megállapított: A CVE-2024-50623 egy valós, dokumentált sebezhetőség a Cleo szoftverében. A Cleo 2024. december 10-én biztonsági tanácsadót tett közzé róla.
  • Jelentett, itt nem ellenőrzött: hogy az Aont a Termite zsarolóvírus érte el, és hogy a Cleo sebezhetőség volt a belépési pont.
  • A rendelkezésre álló anyagból ismeretlen: bármilyen adatszivárgás mértéke, hogy érintettek-e ügyfél- vagy munkavállalói adatok, valamint a kompromittálódás idővonala.

Amíg a vállalat vagy a vizsgálók többet nem tesznek közzé, a konkrét csoporthoz és konkrét sebezhetőséghez való hozzárendelést állításként kell kezelni.

Hogyan használták ki a CVE-2024-50623-at a Cleo szoftverében

A Cleo saját tanácsadója szerint a CVE-2024-50623 egy korlátlan fájlfeltöltési és -letöltési sebezhetőség, amely távoli kódfuttatáshoz vezethet. Hétköznapi értelemben egy ilyen sebezhetőség lehetővé teheti a támadó számára, hogy olyan fájlokat helyezzen el egy szerveren, amelyeket el kellett volna utasítani, majd a saját választása szerinti kódot futtasson rajta. Egy fájlátviteli szerver gyakran egy hálózat peremén helyezkedik el, és bizalmas dokumentumokat tárol, így ez erős fogódzópont.

A biztonsági szállítók a sebezhetőséget a Cleo Harmonyhoz, a VLTraderhez és a LexiComhoz kapcsolták. Az egyik elemzés szerint a Cl0p csoport a CVE-2024-50623-at és egy kapcsolódó sebezhetőséget, a CVE-2024-55956-ot használta ki ezekben a termékekben. Egy másik szállítói írás 2025 januárjából a Cleo szoftver aktív, valós környezetben történő kihasználását írja le, és egy külön bejegyzés megjegyezte, hogy a sebezhetőségek nagyvállalatokat fenyegettek.

Ez a történelem teszi figyelemre méltóvá az Aon-jelentéseket. Ha a Termite-ot most ugyanahhoz a sebezhetőséghez kapcsolják, az arra utal, hogy egy nyilvánosan ismert és javítható sebezhetőség egynél több zsarolóvírus-művelet számára is hasznos maradt. A rendelkezésre álló anyagból nem tudjuk megmondani, hogy ez itt is érvényes-e, de valószínűleg ezt a kérdést fogják feltenni a vizsgálók.

Mit kell most ellenőrizniük a Cleót futtató szervezeteknek

Nem kell megvárnia, hogy az Aon-ügy lezáruljon, mielőtt áttekinti a saját kitettségét. A Cleo Harmony-t, VLTrader-t vagy LexiComot használó csapatok egy rövid listát dolgozhatnak végig:

  1. Erősítse meg a javítás állapotát. Tekintse meg a Cleo hivatalos biztonsági tanácsadóját a CVE-2024-50623-ról, és ellenőrizze, hogy a telepített verziók megfelelnek-e az abban leírt javított kiadásoknak. Tegye ugyanezt a CVE-2024-55956 esetében.
  2. Készítsen leltárt a példányairól. Az árnyék- vagy elfelejtett fájlátviteli szerverek, beleértve a tesztrendszereket és az üzleti egységek által üzemeltetetteket, gyakori hiányosságok.
  3. Csökkentse a kitettséget. Vizsgálja felül, hogy a szervernek elérhetőnek kell-e lennie az internetről, és korlátozza a hozzáférést, ahol nem.
  4. Keresse a kompromittálódás jeleit. A javítás bezárja az ajtót, de nem távolítja el a már bent lévő behatolót. Tekintse át a naplókat, a váratlan fájlokat és a szokatlan kimenő átviteleket, és kövesse a szállítói és incidenskezelési tanácsadók útmutatását.
  5. Kérdezze meg a beszállítóit. Ha egy szállító vagy partner a Cleo szoftverén keresztül kezeli a fájljait, kérdezze meg tőlük közvetlenül a javítás állapotáról és arról, hogy felmérték-e a kitettségüket.

Miért vonzzák a fájlátviteli eszközök folyamatosan a zsarolóvírus-csoportokat

A felügyelt fájlátviteli szoftver egyszerű okból vonzó célpont: értékes adatokat összpontosít egy helyen, és gyakran egyszerre több szervezetet köt össze. Egyetlen gyengeség hozzáférést adhat a támadónak számos vállalat dokumentumaihoz, nem csupán egyéhez.

Van egy bizalmi probléma is. A vállalkozások szerződéseket, pénzügyi nyilvántartásokat és személyes adatokat cserélnek ezeken az eszközökön keresztül, gyakran abból a feltételezésből kiindulva, hogy a szállító szoftvere megerősített. Amikor egy sebezhetőséget felfedeznek, az ügyfelek a szállítótól függenek annak közzétételében, és a saját csapataiktól a gyors javításban. Bármelyik lépés késedelme olyan ablakot hagy, amelyet a bűnözők kihasználhatnak.

Adatvédelem szempontjából a probléma az, hogy az Ön adatai olyan rendszerekben lehetnek, amelyeket soha nem választott, és amelyeket nem lát. A munkáltatók, biztosítók, brókerek és szolgáltatók mind futtathatnak harmadik féltől származó átviteli eszközöket, amelyek hozzáférnek az Ön adataihoz.

Mit jelent ez Önnek

Ha Ön magánszemély, nem tudja javítani egy vállalat fájlátviteli szerverét, de korlátozhatja a kárt bármilyen harmadik féltől származó adatszivárgás esetén. Figyelje a hivatalos adatvédelmi értesítéseket, és olvassa el őket figyelmesen. Legyen szkeptikus a váratlan üzenetekkel szemben, amelyek a fiókjaira vagy a munkáltatójára hivatkoznak, mivel a lopott adatokat gyakran adathalászatra használják. Használjon egyedi jelszavakat és többfaktoros hitelesítést, és fontolja meg a hitelmonitorozást, ha egy értesítés szerint pénzügyi vagy személyazonossági adatok érintettek.

A VPN nem nyújt védelmet az ilyen típusú incidensek ellen. Titkosítja a saját forgalmát, de nem akadályozza meg egy vállalat szerverének kompromittálódását. A harmadik feleknél tárolt adatok attól függnek, hogy ezek a felek hogyan biztosítják azokat.

Ha Ön egy szervezet IT- vagy biztonsági vezetője, a tanulság közvetlenebb: a fájlátviteli szoftver ugyanolyan javítási fegyelmet érdemel, mint a tűzfal vagy az e-mail átjáró.

Kulcsfontosságú tanulságok

  • Kezelje az Aon, a Termite zsarolóvírus és a Cleo közötti kapcsolatot jelentettként, nem bizonyítottként, amíg az Aon vagy a vizsgálók részleteket nem közölnek.
  • A CVE-2024-50623 egy dokumentált Cleo-sebezhetőség, amelyet a Cleo a 2024. december 10-i tanácsadójában kezelt.
  • Ha Cleo-termékeket futtat, ellenőrizze a javítás állapotát a hivatalos tanácsadóval szemben, készítsen leltárt a példányairól, és keresse a korábbi kompromittálódás jeleit.
  • Ha bizalmas adatokat kezel, kérdezze meg a szállítókat és partnereket a fájlátviteli biztonságukról és a javításról.
  • Figyelje a Cleo és a saját biztonsági szolgáltatói hivatalos tanácsadóit, és frissítse ezt a képet, ahogy ellenőrzött részletek kerülnek elő az Aon Termite zsarolóvírus Cleo CVE-2024-50623 jelentésekről.