Cela fait près de trois mois qu'une faille dans l'application de transfert de fichiers très populaire MOVEit a été découverte et corrigée, mais la liste des entreprises et des administrations publiques touchées par cette faille ne cesse de s'allonger. Et cette vague de violence ne semble pas près de s'arrêter.
Selon certaines estimations, plus de 40 millions de personnes et au moins 600 organismes publics et privés auraient été touchés à ce jour par la faille « zero-day » de MOVEit, révélée fin mai. La dernière victime en date à avoir fait grand bruit est IBM, qui a confirmé la semaine dernière que son utilisation de l'application MOVEit aurait pu entraîner la divulgation de millions de dossiers médicaux détenus par des organismes publics du Colorado et du Missouri. Ces attaques, menées en grande partie par le groupe russe Clop, auteur du ransomware « » ( ), ont touché tous les échelons de l'administration publique, ainsi que des universités, des hôpitaux, des banques, des fonds de retraite, des courtiers en bourse, des fournisseurs de technologies, des assureurs, des experts-comptables et un site de jeux d'argent en ligne.
Comme on pouvait s'y attendre, les actions en justice liées à cet incident informatique se multiplient à un rythme effréné. Progress Software Corp., éditeur de MOVEit, fait l'objet d'au moins 13 poursuites judiciaires devant divers tribunaux fédéraux aux États-Unis, selon le Wall Street Journal. Et comme MOVEit compte des centaines de milliers de clients, les avocats recherchent activement les personnes ayant reçu une lettre les informant de la fuite de données de MOVEit afin de savoir si elles souhaitent se joindre aux recours collectifs lancés par l' .
Rien qu’au cours des dernières semaines, des actions en justice ont été intentées contre l’université de Rochester, la Teachers Insurance and Annuity Association, l’université Johns Hopkins, Maximus Federal Services et Pension Benefit Information (un prestataire de services du California Public Employees’ Retirement System) ; toutes ces entités ont été poursuivies en justice pour cette violation de données.
Ce qui pose un tout nouveau problème pour des logiciels très anciens. Les systèmes de transfert de fichiers assurent la transmission de données depuis des décennies et sont considérés comme essentiels au commerce.
«Les programmes de transfert de fichiers sont connus pour présenter des failles de sécurité, car les données qu’ils traitent ne sont souvent pas chiffrées. »Tim Morris, directeur de la sécurité chez Tanium
« Les données sont vitales pour la plupart des organisations », déclare Tim Morris, directeur de la sécurité chez Tanium, une entreprise de premier plan spécialisée dans les logiciels de cybersécurité (et éditeur de Focal Point). « Or, les programmes de transfert de fichiers sont connus pour présenter des failles de sécurité, car les données qu’ils traitent ne sont souvent pas chiffrées. » « Ajoutez à cela des vulnérabilités telles que celles de MOVEit, et les cybercriminels vont s'en donner à cœur joie avec ces exploits. »
Heureusement, les entreprises peuvent prendre certaines mesures pour éviter d'être touchées par cette fuite massive de données.
Pourquoi la faille de sécurité de MOVEit constitue-t-elle un problème si grave ?
Pour prendre les devants face à ce problème, il est utile d'en comprendre les causes. Le 31 mai, Progress a annoncé avoir pris connaissance d'une vulnérabilité de type « injection SQL » dans MOVEit, permettant à des pirates informatiques d'obtenir un accès au réseau ou d'en prendre le contrôle en insérant du code malveillant dans des champs de saisie. Progress a immédiatement ouvert une enquête, alerté les clients de MOVEit, fourni des mesures d'atténuation et publié un correctif 48 heures plus tard.
« De nombreuses organisations ont en effet pu déployer le correctif avant que la faille ne puisse être exploitée », a déclaré à Reuters Eric Goldstein, haut responsable de l'Agence américaine de cybersécurité et de sécurité des infrastructures.
S'il y avait eu de nombreuses autres vulnérabilités, ce correctif aurait peut-être suffi à éviter des problèmes à grande échelle. Mais dans ce cas précis, les pirates de Clop avaient déjà connaissance de la faille de MOVEit, qui était similaire à la vulnérabilité « zero-day » de GoAnywhere MFT découverte en janvier, et avaient commencé à lancer des attaques avant même l'alerte de Progress.
En d'autres termes, les pirates avaient une longueur d'avance. Et si l’on en croit Progress, cette avancée, associée à l’agressivité de Clop et à l’imbrication croissante des données, des logiciels et des chaînes d’approvisionnement en « » dans notre monde numérique, constitue l’une des principales raisons pour lesquelles tant d’agences et d’entreprises découvrent encore aujourd’hui qu’elles ont été victimes de failles liées à MOVEit.
L'autre raison, selon les experts, est que de nombreuses entreprises n'ont pas pris la nécessité d'appliquer des correctifs aussi au sérieux qu'elles auraient dû.
Remédier à la procrastination ? C'est peut-être là le véritable responsable du problème avec MOVEit
Il est difficile de déterminer si cela est vrai ou non. Cependant, des chercheurs en sécurité tels que Huntress, qui ont réussi à reproduire la chaîne d'attaque couramment utilisée pour exploiter la vulnérabilité de MOVEit, ont déclaré que le correctif de Progress Software «» parvenait effectivement à contrecarrer l'exploit que nous avons reproduit. »
“It’s very Log4j-esque.”John Hammond, chercheur en cybersécurité chez Huntress
L'évolution de la situation laisse penser que de nombreuses organisations n'ont probablement pas installé le correctif, soit parce qu'elles n'ont pas pris la menace aussi au sérieux qu'elles auraient dû, soit parce qu'elles ne disposaient pas du temps ni des ressources nécessaires pour le faire assez rapidement. De plus, comme MOVEit est utilisé tout au long des chaînes d'approvisionnement, il est tout à fait possible que certains services informatiques n'aient même pas eu conscience qu'eux-mêmes ou leurs partenaires utilisaient ce logiciel de transfert de fichiers.
In that sense, “it’s very Log4j-esque,” says John Hammond, a cybersecurity researcher with Huntress, referring to the Apache vulnerability that’s been a persistent threat since its discovery in novembre 2021. Selon certaines estimations, 72 % des organisations y sont toujours exposées.
Comment minimiser la menace liée à la faille de sécurité de MOVEit
Alors, que peut faire une organisation si elle n'a pas encore pris de mesures pour se protéger ? Les experts recommandent les précautions suivantes :
1. Audit
Vous devez savoir si vous ou vos fournisseurs utilisez MOVEit et si cela pourrait vous concerner. Effectuez un inventaire des applications et des ressources d' afin de déterminer si votre infrastructure technologique comprend des serveurs MOVEit. Vous devrez également prendre contact avec vos fournisseurs et leur demander de rendre des comptes quant à la sécurité de l'ensemble des technologies qu'ils utilisent. La société technologique Prevalent propose une liste utile de questions que vous pourriez poser au cours de ces entretiens. « Même si ce dont ils disposent ne relève pas de votre compétence, cela n’en reste pas moins un élément qui influe sur la manière dont vous assurez la sécurité de vos opérations », explique M. Hammond.
2. Patch
C'est une évidence, mais vous mettez en jeu l'existence même de votre entreprise, sa réputation et sa situation juridique si vous ne procédez pas à l'installation de tous les correctifs disponibles sur et. Progress a annoncé qu'elle publierait désormais des « service packs » tous les deux mois environ. Faites attention à ceux-là. La plupart des organisations semblent comprendre la nécessité de se mettre à jour et ont agi 21 fois plus rapidement que ce qui est généralement considéré comme la norme pour remédier à ce problème, selon un rapport de Bitsight. En conséquence, le nombre d'organisations exposées à cette faille a diminué de somewhat—77 % : selon Bitsight, la plupart des organisations initialement concernées ne sont plus exposées. Bien sûr, cela signifie que 23 % restent vulnérables aux attaques.
[À lire également : Qu'est-ce que l'automatisation de la sécurité ?]
3. Désactiver
Progress recommande également de désactiver tout le trafic HTTP et HTTPS vers votre environnement MOVEit Transfer, ce qui constitue une mesure d'atténuation importante. Plus précisément, vous devez modifier les règles du pare-feu afin de bloquer le trafic HTTP et HTTPS vers MOVEit Transfer sur les ports 80 et 443 jusqu'à ce que le correctif puisse être appliqué.
4. Segment
Tim Morris, de Tanium, recommande également de prêter une attention particulière à l'emplacement où vous stockez vos données et de vous assurer qu'elles ne se trouvent pas au même endroit que MOVEit, quelle que soit la durée. « En transférant les données depuis la périphérie vers un emplacement plus sécurisé, on réduit ainsi efficacement le “rayon d’impact” », explique M. Morris. « Cela limite ce qu’un pirate peut voler et minimise l’impact de la faille, faisant de MOVEit un proxy qui transfère rapidement les données sans les stocker. »
5. Moniteur
M. Morris précise qu'il est également essentiel de surveiller les ports, les protocoles et les services du réseau, et de s'assurer que les configurations de sécurité des équipements de l'infrastructure réseau, tels que les routeurs et les pare-feu, sont bien activées.
6. Renforcer
Les experts suggèrent également un certain nombre de mesures de cyberhygiène relevant du bon sens, disponibles sur , notamment :
- Mise à jour des règles du pare-feu réseau afin de n'autoriser les connexions à l'infrastructure MOVEit qu'à partir d'adresses IP de confiance.
- La vérification et la suppression des comptes d’utilisateurs non autorisés constituent une tâche essentielle qui est trop souvent reléguée au second plan dans la liste des priorités d’une organisation en matière de sécurité.
- Limiter l'accès aux fichiers aux personnes déjà authentifiées par le réseau, et n'accorder des privilèges d'administrateur qu'en cas de nécessité absolue.
- Mise à jour des politiques d'accès à distance afin de n'autoriser les connexions entrantes qu'à partir d'adresses IP de confiance.
- Activer l'authentification multifactorielle (MFA) d' afin de protéger les comptes MOVEit contre les utilisateurs non authentifiés.
- Le chiffrement préalable des fichiers sensibles à l'aide d'algorithmes réels tels que l'Advanced Encryption Standard (AES), un chiffrement par blocs symétrique qui permet de chiffrer et de déchiffrer rapidement les informations transférées (considérez l'AES comme un code secret ultra-sécurisé qui transforme les messages en un charabia que seule la personne autorisée peut comprendre).
7. Observez
Tout comme les cinéastes hollywoodiens, les pirates informatiques suivent les tendances. Si des chercheurs découvrent une faille dans une catégorie particulière de logiciels et que des groupes de ransomware l'exploitent à des fins lucratives, des failles et des cyberattaques similaires ont alors tendance à se multiplier.
Les attaques par transfert de fichiers sont très en vogue en ce moment, et ce ne sera peut-être pas la dernière fois que nous entendrons parler d'exploits impliquant MOVEit. Même si les forces de l'ordre parviennent un jour à démanteler Clop, il reste essentiel de suivre l'actualité, d'être attentif aux alertes et aux courriers des fournisseurs, et de rechercher les indicateurs connus de compromission, car il y aura toujours des acteurs malveillants. Pour les mises à jour de MOVEit Transfer, , consultez cette page :. Pour MOVEit Cloud, consultez la page « » à l'adresse suivante :.
« J'ai le sentiment que les failles de sécurité de MOVEit vont poser problème bien plus longtemps que nous ne le pensions initialement, et qu'elles entraîneront toutes sortes de complications coûteuses », déclare M. Morris. « Mais si vous appliquez les correctifs et adoptez des pratiques de cybersécurité raisonnables, vous devriez pouvoir réduire au minimum le risque d'être affecté par ce problème. »
