CLEO, şu anda veri hırsızlığı saldırılarında kullanılmayan Lexicom, Vltransfer ve Harmony yazılımında sıfır gün kusuru için güvenlik güncellemeleri yayınladı.
Ekim ayında şirket, yönetilen dosya aktarım yazılımında bir Auth Öncesi Uzaktan Kod Yürütme Güvenlik Açığı'nı (CVE-2024-50623) yamaladı ve "tüm müşterilerin hemen yükseltmesini" önerdi.
Huntress Güvenlik Araştırmacıları ilk olarak 3 Aralık'ta tamamen yamalı CLEO yazılımını hedefleyen saldırıların kanıtını tespit etti. Bunu, saldırganların CVE-2024-50623 bypass'ı (CVE-ID'siz) hızla keşfettikten sonra 8 Aralık Pazar günü etkinlikte önemli bir artış izledi. Bu, varsayılan Autorun klasör ayarlarından yararlanarak keyfi Bash veya PowerShell komutlarını içe aktarmalarını ve yürütmelerini sağlar.
Bu sıfır gün hatası, siber güvenlik uzmanı Kevin Beaumont tarafından yakın zamanda bir hizmet (SaaS) sağlayıcısı Blue Yonder olarak yazılım ihlalini talep eden Termit Fidyeware Gang'a bağlı olan devam eden saldırılarda kullanılıyor.
Huntress Pazartesi günü yaptığı açıklamada, "Bu kırılganlık, 5.8.0.21 çalışan vahşi ve tamamen yamalı sistemlerde aktif olarak sömürülüyor."
"Yeni bir yama piyasaya sürülene kadar internete maruz kalan CLEO sistemlerini bir güvenlik duvarının arkasına taşımanızı şiddetle tavsiye ediyoruz."
Shodan şu anda 327'si Amerika Birleşik Devletleri'nde olan 421 CLEO Sunucusu izliyor. Macnica Tehdit Araştırmacısı Yutaka Sejiyama ayrıca 743 CLEO sunucusunun çevrimiçi (379 Running Harmony Software, 124 Vltrader ve 240) Lexicom) erişilebilir olduğunu buldu.
Bugün, Cleo devam eden saldırıları engellemek için yamalar yayınladı ve müşterileri, internete maruz kalan sunucuları, ihlal etmeye karşı savunmasız olarak güvence altına almak için mümkün olan en kısa sürede 5.8.0.24 sürümüne yükseltmeye çağırdı.
Şirket, "Cleo, tüm müşterilere, güvenlik açığının ek keşfedilen potansiyel saldırı vektörlerini ele almak için en son yayınlanan yamaya (sürüm 5.8.0.24) uyum, vltrader ve lexicom örneklerini derhal yükseltmelerini şiddetle tavsiye ediyor." Dedi. "Yama uygulandıktan sonra, başlangıçta bu istismarla ilgili bulunan herhangi bir dosya için hatalar kaydedilir ve bu dosyalar kaldırılır."
Cleo, sistem seçeneklerine girerek ve Autorun dizini temizleyerek Autorun özelliğini devre dışı bırakmak için hemen yükseltemeyenlere (bu, gelen saldırıları engellemez, ancak saldırı yüzeyini azaltacaktır) tavsiye eder.
Tehdit aktörleri, saldırıları araştırırken Rapid7'nin bulunduğu gibi, daha büyük bir Java tabanlı sömürü sonrası çerçevenin bir parçası olan kodlanmış bir Java Arşivi (JAR) yükü [Virustotal] dağıtmak için şimdi paketlenmiş olanı kullandı.
Huntress ayrıca kötü amaçlı yazılımları (şimdi Malichus olarak adlandırdı) analiz etti ve Linux desteği ile birlikte gelse de sadece Windows cihazlarına dağıtıldığını söyledi. İkili savunma ARC laboratuvarlarına göre, kötü amaçlı yazılım operatörleri Malichus'u dosya transferleri, komut yürütme ve ağ iletişimi için kullanabilir.
Şimdiye kadar Huntress, bu devam eden saldırılarda CLEO sunucuları saldırıya uğrayan ve başka potansiyel kurbanlar olduğunu söyledi. Sophos ayrıca 50'den fazla CLEO ev sahibi üzerinde uzlaşma göstergeleri buldu.
Sophos, "Gözlemlenen tüm etkilenen müşterilerin bir şubesi var veya Kuzey Amerika'da faaliyet gösteriyor, başta ABD'de. Gözlenen etkilenen müşterilerin çoğunluğunun perakende kuruluşlar olduğunu belirtiyoruz." Dedi.
Bu saldırılar, son yıllarda Moveit Transfer, Goanywhere MFT ve Acccellion FTA'da sıfır günleri hedefleyen CLOP veri hırsızlığı saldırılarına çok benzer.
Clop Fidye Yazılımı, CLEO Veri Hırsızlığı Saldırılarının Sorumluluğunu İddia ediyor
Microsoft Aralık 2024 Patch Salı Düzeltmeleri 1 Sökülen Sıfır Gün, 71 Kusur
Botnet Mirai Kötü Yazılımları Yüklemek İçin Geovision Sıfır Gününden Serbest Yazılıyor
Microsoft Kasım 2024 Patch Salı 4 sıfır gün, 89 kusur düzeltiyor
Microsoft Ekim 2024 Patch Salı 5 sıfır gün, 118 kusur düzeltiyor
Kaynak: Bleeping Computer