Vulnérabilité MOVEit : Cl0p pourrait avoir attendu 2 ans avant de l’exploiter

Les chercheurs en menaces de Kroll viennent de publier une analyse montrant que Cl0p pourrait avoir expérimenté des moyens d’exploiter l’injection SQL dans le produit de transfert de fichiers géré MOVEit Transfer pendant un certain temps, avant l’événement d’exfiltration de masse de fin mai. Kroll pense que l’exploit était certainement disponible et testé en avril 2022, et probablement dès juillet 2021.

Les chercheurs ont également partagé des indicateurs selon lesquels ClOp avait terminé son travail de développement sur l’exploit MOVEit – désormais désigné comme CVE-2023-34362 – au moment où il exploitait la vulnérabilité CVE-2023-0669 de Fortra GoAnywhere.

« D’après l’analyse de Kroll, il semble que les acteurs malveillants de Cl0p avaient terminé l’exploit pour MOVEit Transfer au moment de l’événement GoAnywhere et qu’ils ont choisi d’exécuter les attaques de manière séquentielle plutôt qu’en parallèle. Ces résultats mettent en évidence l’importance de la planification et de la préparation qui précèdent probablement les événements d’exploitation de masse », a écrit l’équipe de recherche.

L’équipe – qui comprend Devon Ackerman, responsable mondial de la réponse aux incidents chez Kroll, Lauria Iacono et Scott Downie, directeurs généraux associés, et Dan Cox, associé – a analysé l’activité d’exploitation associée à CVE-2023-34362 s’étant déroulée pendant ou autour du week-end des 27 et 28 mai, un long week-end férié aux États-Unis et au Royaume-Uni.

Dans l’ensemble, cette activité comprenait une chaîne d’exploitation automatisée qui a conduit au déploiement d’un webshell. Elle était centrée sur deux composants légitimes du transfert MOVEit, mais lorsque l’équipe a examiné les journaux des services d’information Internet (IIS) de Microsoft des clients concernés, elle a trouvé des preuves d’une activité similaire se produisant dans de multiples environnements à partir de juillet 2021.

Les pics les plus importants de cette activité sont survenus le 27 avril 2022, puis les 15 et 16 mai 2023, probablement parce que Cl0p essayait de tester son accès aux organisations victimes et de retirer des informations des services MOVEit Transfer pour essayer de savoir qui ils avaient compromis.

Le 22 mai 2023, Cl0p semble commencer à retirer les identifiants des organisations des serveurs MOVEit Transfer. Selon Ackerman et ses collègues, le gang essayait probablement d’identifier les organisations qu’il avait compromises, de les classer et d’en faire l’inventaire. Ce pic s’est produit sur une période de 22 minutes et a été associé à une seule adresse IP pour plusieurs victimes.

Une analyse plus poussée a permis de découvrir d’autres liens entre les pics d’activité sur une période de deux ans, ce qui, selon l’équipe, montre que Cl0p a commencé par tester manuellement CVE-2023-34362 en juillet 2021 et a lentement mis au point une solution automatisée.