Kritiskās WhatsUp Gold ievainojamības var būt pavērušas ceļu Ransomware uzbrukumiem

Pēdējos mēnešos Progress Software WhatsUp Gold — plaši izmantots IT infrastruktūras uzraudzības rīks — ir nonācis drošības vētras centrā. Divas kritiskas ievainojamības, CVE-2024-6670 un CVE-2024-6671, ir izraisījušas trauksmes zvanus visā kiberdrošības kopienā, jo īpaši tādēļ, ka tās var tikt izmantotas izspiedējvīrusu uzbrukumos . Lai gan šo ievainojamību pilnā ietekme joprojām tiek izmeklēta, iespējamā saistība ar attālinātu koda izpildi un izpirkuma programmatūras incidentiem ir izraisījusi ātru reakciju gan no drošības firmām, gan organizācijām, kas paļaujas uz programmatūru.

Ievainojamības izmantotas, neskatoties uz ielāpiem

2024. gada 16. augustā programma Progress Software brīdināja savus lietotājus par trim ievainojamībām WhatsUp Gold — populārajā IT tīklu pārvaldības rīkā. Starp tiem īpaši satrauca divas SQL injekcijas ievainojamības , kas ļāva neautentificētiem uzbrucējiem piekļūt šifrētām parolēm. Šiem trūkumiem tika piešķirti kritiski smaguma novērtējumi, kas atspoguļo nozīmīgo risku, ko tie rada organizācijām.

Ievainojamības tika ātri novērstas, taču, kā tas bieži notiek kiberdrošības pasaulē, laiks ir viss. Kamēr ielāpi bija pieejami, dažas organizācijas nevarēja tos laikus lietot. Tikai divas nedēļas vēlāk, 30. augustā, Summoning Team pētnieks publiski atklāja šo ievainojamību tehnisko informāciju un koncepcijas pierādījuma (PoC) izmantošanu. Tajā pašā dienā Trend Micro ziņoja par attālinātiem koda izpildes uzbrukumiem, kas vērsti uz WhatsUp Gold gadījumiem, norādot, ka PoC, iespējams, ir paātrinājis mēģinājumus izmantot trūkumus.

Ransomware vai attālās piekļuves rīki?

Lai gan Trend Micro vēl nav galīgi saista šos uzbrukumus ar konkrētu apdraudējuma dalībnieku, vairāku attālās piekļuves rīku (RAT) izmantošana incidentos ir radījusi aizdomas, ka aiz ekspluatācijas varētu būt izspiedējvīrusu grupa. Precīza grupa joprojām nav zināma, taču RAT izmantošana ir izplatīts priekštecis postošākiem uzbrukumiem, piemēram, izspiedējvīrusu izvietošanai, kas pēdējos gados ir kļuvusi pārāk izplatīta.

Interesanti, ka, lai gan ASV Kiberdrošības un infrastruktūras drošības aģentūra (CISA) ātri pievienoja CVE-2024-6670 savam Known Exploited Vulnerabilities (KEV) katalogam, aģentūra pārstāja apstiprināt, vai ievainojamība ir aktīvi izmantota izspiedējvīrusu kampaņās. CVE-2024-6671, vēl viens kritisks trūkums, vēl ir jāiekļauj šajā sarakstā, atstājot neatbildētus dažus jautājumus par izmantošanas apjomu.

Plašāka globāla ekspozīcija

Īpaši satraucoša ir WhatsUp Gold globālā sasniedzamība. Simtiem programmatūras gadījumu ir pakļauti internetam, un lielākā koncentrācija ir Brazīlijā, Indijā, Taizemē un Amerikas Savienotajās Valstīs. Šis plašais sadalījums nozīmē, ka jebkuras veiksmīgas izmantošanas ietekme var izpausties dažādās nozarēs un valstīs.

Palielinot sarežģītību, Progress Software nesen aizlāpa citu WhatsUp Gold ievainojamību, kas izsekots kā CVE-2024-4885. Šis trūkums, lai gan tas ir pietiekami nopietns, lai potenciāli novestu pie pilnīgas sistēmas kompromitēšanas, vēl nav ticis izmantots savvaļā, piedāvājot atvieglojuma mirdzumu notiekošā ievainojamības haosa apstākļos.

Virzība uz priekšu un sistēmas aizsardzība

Tā kā WhatsUp Gold ievainojamības parādās virsrakstos, daudzām organizācijām ir skaidrs jautājums: kā mēs varam sevi pasargāt? Pirmkārt un galvenokārt, organizācijām, kas izmanto WhatsUp Gold, nekavējoties jāpiemēro jaunākie Progress Software nodrošinātie ielāpi. Tas mazinās riskus, ko rada CVE-2024-6670 un CVE-2024-6671, un palīdzēs nodrošināt, ka uzbrucēji nevar izmantot šīs kritiskās nepilnības.

Turklāt drošības komandām jāmeklē iespējamie kompromisa indikatori (IOC), kas tagad ir pievienoti Progress Software ieteikumam. Neparastu darbību uzraudzība, jo īpaši attālās piekļuves rīku (RAT) izmantošana, var palīdzēt atklāt uzbrukumu, pirms tas pārvēršas izspiedējvīrusa situācijā.

Visbeidzot, organizācijām jāapsver tīkla segmentācijas un stabilas rezerves stratēģijas ieviešana. Gadījumā, ja izpirkuma programmatūra patiešām nonāk sistēmā, labi segmentēts tīkls var ierobežot tā izplatību, un uzticamas dublējumkopijas var nodrošināt, ka kritiskos datus var atjaunot, nemaksājot izpirkuma maksu.

Modrība ir galvenais

Šo ievainojamību atklāšana vēlreiz uzsver ātras ielāpu un proaktīvu kiberdrošības pasākumu nozīmi. Notikumu laika skala, sākot ar ielāpu un beidzot ar publisko PoC, uzsver, cik ātri uzbrucēji var pārvietoties, kad tiek atklātas jaunas ievainojamības. Lai gan joprojām nav skaidrs, vai šie trūkumi ir tieši veicinājuši izspiedējvīrusu uzbrukumus, iespējamais risks ir nenoliedzams.

Saglabājot modrību, uzliekot ielāpus un pārraugot aizdomīgas darbības, organizācijas var labāk aizsargāties pret tādiem draudiem kā CVE-2024-6670 un CVE-2024-6671. Ransomware turpina attīstīties, un tādu kritisku ievainojamību izmantošana kā šīs var kļūt par galveno instrumentu kibernoziedznieku rokās. Esiet priekšā notikumiem — ielāpojiet agri, ielāpojiet bieži un saglabājiet modrību.