Критические уязвимости WhatsUp Gold могли открыть путь для атак с использованием программ-вымогателей

В последние месяцы WhatsUp Gold от Progress Software — широко используемый инструмент мониторинга ИТ-инфраструктуры — оказался в центре шторма безопасности. Две критические уязвимости, CVE-2024-6670 и CVE-2024-6671, вызвали тревогу в сообществе кибербезопасности, особенно из-за их потенциальной эксплуатации в атаках с использованием программ-вымогателей . Хотя полное воздействие этих уязвимостей все еще расследуется, возможная связь с удаленным выполнением кода и инцидентами с использованием программ-вымогателей вызвала быструю реакцию как со стороны компаний по безопасности, так и со стороны организаций, которые полагаются на это программное обеспечение.

Уязвимости, эксплуатируемые несмотря на исправления

16 августа 2024 года компания Progress Software предупредила своих пользователей о трех уязвимостях в WhatsUp Gold, популярном инструменте для управления ИТ-сетями. Среди них две уязвимости SQL-инъекции были особенно тревожными, позволяя неаутентифицированным злоумышленникам получать доступ к зашифрованным паролям. Этим недостаткам были присвоены критические уровни серьезности, отражающие значительный риск, который они представляют для организаций.

Уязвимости были быстро исправлены, но, как это часто бывает в мире кибербезопасности, время решает все. Хотя исправления были доступны, некоторые организации не смогли применить их вовремя. Всего две недели спустя, 30 августа, исследователь из Summoning Team публично раскрыл технические детали и эксплойт доказательства концепции (PoC) для этих уязвимостей. В тот же день Trend Micro сообщила об атаках удаленного выполнения кода, нацеленных на экземпляры WhatsUp Gold, что указывает на то, что PoC, возможно, ускорил попытки эксплуатации уязвимостей.

Программы-вымогатели или инструменты удаленного доступа?

Хотя Trend Micro еще не удалось окончательно связать эти атаки с конкретным субъектом угрозы, использование нескольких инструментов удаленного доступа (RAT) в инцидентах вызвало подозрения, что за эксплуатацией может стоять группа вымогателей. Точная группа остается неизвестной, но использование RAT является обычным предшественником более разрушительных атак, таких как развертывания программ-вымогателей, которые стали слишком распространенными в последние годы.

Интересно, что хотя Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) быстро добавило CVE-2024-6670 в свой каталог известных эксплуатируемых уязвимостей (KEV), агентство не стало подтверждать, активно ли использовалась уязвимость в кампаниях по вымогательству. CVE-2024-6671, еще один критический недостаток, пока не включен в этот список, что оставляет некоторые вопросы о масштабах эксплуатации без ответа.

Более широкое глобальное присутствие

Что особенно беспокоит, так это глобальный охват WhatsUp Gold. Сотни экземпляров этого ПО доступны в Интернете, с самой высокой концентрацией в Бразилии, Индии, Таиланде и США. Такое широкое распространение означает, что влияние любой успешной эксплуатации может отразиться на широком спектре отраслей и стран.

Усложняя ситуацию, Progress Software недавно исправила еще одну уязвимость в WhatsUp Gold, отслеживаемую как CVE-2024-4885. Эта уязвимость, хотя и достаточно серьезная, чтобы потенциально привести к полной компрометации системы, еще не была эксплуатирована в реальных условиях, что дает проблеск облегчения среди продолжающегося хаоса уязвимостей.

Двигаемся вперед и как защитить свои системы

Поскольку уязвимости в WhatsUp Gold попали в заголовки новостей, для многих организаций вопрос ясен: как мы можем защитить себя? В первую очередь, организации, использующие WhatsUp Gold, должны немедленно применить последние исправления, предоставленные Progress Software. Это снизит риски, связанные с CVE-2024-6670 и CVE-2024-6671, и поможет гарантировать, что злоумышленники не смогут воспользоваться этими критическими уязвимостями.

Кроме того, команды по безопасности должны искать потенциальные индикаторы компрометации (IOC), которые теперь добавлены в рекомендации Progress Software. Мониторинг необычной активности, в частности использования средств удаленного доступа (RAT), может помочь обнаружить атаку до того, как она перерастет в ситуацию с вымогательством.

Наконец, организациям следует рассмотреть возможность внедрения сегментации сети и надежных стратегий резервного копирования. В случае, если программа-вымогатель все же проникнет в систему, наличие хорошо сегментированной сети может ограничить ее распространение, а надежные резервные копии могут гарантировать, что критически важные данные могут быть восстановлены без выплаты выкупа.

Бдительность – это ключ

Обнаружение этих уязвимостей еще раз подчеркивает важность быстрого исправления и упреждающих мер кибербезопасности. Хронология событий, от исправления до публичного PoC, подчеркивает, как быстро могут действовать злоумышленники, когда раскрываются новые уязвимости. Хотя остается неясным, способствовали ли эти недостатки напрямую атакам программ-вымогателей, потенциальный риск неоспорим.

Оставаясь начеку, применяя исправления и отслеживая подозрительную активность, организации могут лучше защитить себя от угроз, подобных тем, которые представляют CVE-2024-6670 и CVE-2024-6671. Программы-вымогатели продолжают развиваться, и эксплуатация таких критических уязвимостей может стать ключевым инструментом в руках киберпреступников. Будьте на шаг впереди — устанавливайте исправления как можно раньше, часто и сохраняйте бдительность.