Ce s-a întâmplat cu site-ul de scurgeri de date din dark web al Clop

Gruparea de ransomware Clop a fost nevoită să mute site-ul său de scurgeri de date la o nouă adresă Tor după ce a confirmat că serverul său anterior a fost compromis și defacement-uit. Potrivit relatărilor de la BleepingComputer, atacul a fost efectuat de ShinyHunters, o altă grupare de extorcare bine cunoscută, iar intruziunea a fost posibilă datorită unei vulnerabilități nepatch-uite în Grav CMS, sistemul de management al conținutului pe care Clop se baza pentru a-și gestiona site-ul de scurgeri de date.

Site-urile de scurgeri de date reprezintă o parte centrală a modelului de afaceri al ransomware-ului modern. Grupări precum Clop le folosesc pentru a publica date furate și pentru a presa organizațiile victime să plătească. Când această infrastructură este ea însăși compromisă și defacement-uită, este mai mult decât o notă de subsol jenantă. Ea semnalează că operatorii care conduc una dintre cele mai active campanii de extorcare din ultimul an au eșuat să-și securizeze propriile sisteme împotriva unei categorii cunoscute de vulnerabilități web.

Cum a expus o vulnerabilitate nepatch-uită în Grav CMS infrastructura unei grupări de ransomware

BleepingComputer a confirmat că vulnerabilitatea exploatată a fost o vulnerabilitate de tip path traversal neautentificată în Grav CMS. Vulnerabilitățile de tip path traversal permit unui atacator să manipuleze căile de fișiere dintr-o aplicație web pentru a accesa fișiere și directoare din afara scopului prevăzut, adesea fără a avea nevoie de credențiale de autentificare valide. În practică, aceasta înseamnă că un atacator poate potențial citi, iar în anumite configurații scrie, fișiere pe un server pur și simplu creând cererea potrivită, fără a fi nevoie de parolă.

Aceasta nu este o tehnică de atac exotică sau nouă. Vulnerabilitățile de tip path traversal se numără printre cele mai bine documentate vulnerabilități în securitatea aplicațiilor web, iar versiunile neautentificate sunt considerate deosebit de periculoase deoarece elimină necesitatea oricărui acces anterior sau a unor credențiale furate. Faptul că ShinyHunters a reușit să folosească una pentru a sparge și a defacement-ui propriul site de scurgeri de date al Clop sugerează că instanța CMS rula software învechit sau nepatch-uit, exact același tip de neglijență pe care grupurile de ransomware o exploatează în mod obișnuit împotriva propriilor victime.

Ce relevă acest lucru despre igiena de securitate, chiar și pentru infractorii cibernetici

Există o anumită ironie în faptul că o operațiune de ransomware este hackuită prin exact tipul de vulnerabilitate de software nepatch-uită de care depinde pentru a sparge alte organizații. Grupări precum Clop au construit campanii întregi în jurul exploatării sistemelor nepatch-uite sau configurate greșit din întreprinderi, iar acest incident arată că nu sunt imune la aceleași eșecuri de securitate de bază.

De asemenea, reflectă o tendință mai largă de conflicte și rivalități între grupurile de extorcare, în care o organizație criminală vizează infrastructura alteia pentru avantaj, reputație sau pur și simplu haos. Defacement-ul și compromiterea site-ului de scurgeri de date al Clop de către ShinyHunters se încadrează în acest tipar al grupurilor de criminalitate cibernetică care își îndreaptă instrumentele unul împotriva celuilalt, nu doar împotriva țintelor corporative.

Pentru apărători, lecția este simplă: gestionarea patch-urilor nu este opțională și nu este doar o bifă de conformitate. Fie că ești o companie Fortune 500 sau, aparent, o grupare de ransomware care administrează un CMS pentru a găzdui date furate, o vulnerabilitate nepatch-uită este o ușă deschisă. Instrumentele și tehnicile folosite pentru a găsi și exploata aceste vulnerabilități nu fac discriminare pe baza cine deține serverul.

Ce înseamnă acest lucru pentru victimele breach-urilor anterioare ale Clop

Pentru organizațiile care au fost vizate anterior de Clop, această evoluție ridică întrebări noi în loc să ofere liniștire. Dacă site-ul de scurgeri de date al Clop a fost compromis de o parte terță, merită să ne întrebăm ce s-a întâmplat cu datele furate găzduite acolo, cine ar fi putut să le acceseze și dacă defacement-ul a perturbat sau a expus și mai mult acel material. Clop a desfășurat campanii de furt de date la scară largă împotriva numeroaselor companii, inclusiv revendicări împotriva unor organizații majore precum Shell, unde compania a confirmat că investighează o potențială breșă de date de 89GB legată de activitatea de extorcare mai amplă a grupului. Incidente ca acesta ilustrează miza reală din spatele acestor site-uri de scurgeri de date: nu sunt curiozități abstracte din dark web, ele dețin date corporative și ale clienților sensibile, legate de breach-uri specifice și numite.

Când un site de scurgeri de date își schimbă stăpânul sau este compromis de o grupare rivală, victimele pierd vizibilitatea asupra locului unde se află de fapt datele lor furate și cine le controlează. Această incertitudine este ea însăși un risc, independent de cererile de răscumpărare formulate inițial.

Ce înseamnă acest lucru pentru tine

Dacă organizația ta a fost numită într-o revendicare de breach a Clop, precum incidentul Shell menționat mai sus, acest episod este un memento că peisajul amenințărilor legate de datele furate nu rămâne static nici după un breach inițial. Eliminarea site-urilor de scurgeri de date, defacement-urile și hack-urile rivalilor pot schimba modul și locul în care datele tale sunt expuse.

Mai larg, acest incident este un studiu de caz util pentru orice organizație care administrează sisteme de management al conținutului expuse public. Grav CMS, ca WordPress, Drupal sau alte platforme, necesită patch-uri regulate, iar vulnerabilitățile de tip path traversal neautentificate sunt exact genul de vulnerabilitate pe care scanerele automate și atacatorii oportuniști le caută în mod constant.

Concluzii acționabile

  • Menține fiecare CMS, plugin și componentă de server expuse public actualizate cu cele mai recente patch-uri de securitate, indiferent cât de minor pare software-ul.
  • Tratează vulnerabilitățile neautentificate ca prioritate ridicată. Dacă un atacator nu are nevoie de credențiale pentru a exploata o vulnerabilitate, fereastra ta de expunere este mult mai largă.
  • Dacă organizația ta a fost numită anterior într-o revendicare de breach a Clop, monitorizează actualizările despre unde ar putea reapărea datele furate, deoarece perturbările site-urilor de scurgeri de date pot schimba expunerea datelor fără avertisment.
  • Folosește acest incident ca subiect de discuție intern: chiar și actorii de amenințare care profită de pe urma sistemelor nepatch-uite ale altora nu sunt imuni la aceleași eșecuri de securitate de bază.