Cela fait presque trois mois qu’une faille dans l’application de transfert de fichiers populaire MOVEit a été découverte et corrigée, mais la liste des entreprises et des agences gouvernementales piégée par la violation MOVEit continue de se développer. Et la rampe ne montre aucun signe d’arrêt.
Selon certains nombres, plus de 40 millions de personnes et au moins 600 organisations publiques et privées ont pu être affectées jusqu’à présent par le bug MOVEit zero-day qui a été divulgué fin mai. La dernière victime de haut niveau est IBM, qui a confirmé la semaine dernière que son utilisation de l’application MOVEit aurait pu entraîner l’exposition de millions de dossiers de soins de santé détenus par des agences étatiques au Colorado et au Missouri. Ces attaques, largement causées par le gang russe de ransomware sClop, ont touché tous les niveaux du gouvernement ainsi que les universités, les hôpitaux, les banques, les fonds de pension, les négociants en actions, les fournisseurs de technologies, les assureurs, les comptables et un site de jeux d’argent en ligne.
Il n’est pas surprenant que les actions en justice liées au cyber-incident explosent. Selon le Wall Street Journal, Progress Software Corp., qui fabrique MOVEit, fait l’objet d’au moins 13 poursuites devant divers tribunaux fédéraux à travers les États-Unis. Et parce qu’il existe des centaines de milliers de clients MOVEit, les avocats poursuivent fébrilement les personnes qui ont reçu des lettres de violation de données MOVEit pour voir s’ils pourraient vouloir participer à des poursuites collectives.
Rien qu’au cours des dernières semaines, un litige a été intenté contre l’Université de Rochester, l’Association des enseignants pour l’assurance et les rentes, l’Université Johns Hopkins, Maximus Federal Services et Pension Benefit Information (un fournisseur de services du système de retraite des employés publics de Californie) qui ont tous été poursuivis pour la violation.
Ce qui présente un tout nouveau problème pour les logiciels très anciens. Les systèmes de transfert de fichiers déplacent les données depuis des décennies et sont considérés comme essentiels au commerce.
« Les programmes de transfert de fichiers sont notoirement mis en question par la sécurité, car les données qu’ils traitent sont souvent non cryptées. »Tim Morris, directeur de la sécurité, Tanium
« Les données sont vitales pour la plupart des organisations », déclare Tim Morris, directeur de la sécurité chez Tanium, une société de logiciels de cybersécurité de premier plan (et l’éditeur de Focal Point). « Mais les programmes de transfert de fichiers sont notoirement mis en question par la sécurité, car les données qu’ils traitent sont souvent non cryptées. Ajoutez à cela des vulnérabilités comme celles de MOVEit, et les cybergangs vont passer une journée sur le terrain avec des exploits. »
Heureusement, il existe des mesures que les entreprises peuvent prendre pour éviter de faire partie de cette énorme violation de données.
Pourquoi la violation MOVEit est un problème si pernicieux
Pour anticiper le problème, il est utile de comprendre ce qui se cache derrière. Le 31 mai, Progress a annoncé avoir pris connaissance d’une vulnérabilité d’injection SQL MOVEit, où les pirates informatiques peuvent obtenir un accès ou un contrôle réseau en insérant un code malveillant dans les champs d’entrée. Progress a immédiatement lancé une enquête, alerté les clients MOVEit, fourni des étapes d’atténuation et publié un correctif 48 heures plus tard.
« De nombreuses organisations ont en fait été en mesure de déployer le correctif avant qu’il ne puisse être exploité », a déclaré Eric Goldstein, un haut responsable de l’Agence américaine de cybersécurité et de sécurité des infrastructures, à Reuters.
Avec de nombreuses autres vulnérabilités, le correctif aurait pu être suffisant pour éviter des problèmes répandus. Mais dans ce cas, les pirates informatiques de Clop avaient déjà connu le défaut MOVEit, qui était similaire à la vulnérabilité zero-day MFT GoAnywhere en janvier, et avaient commencé à lancer des attaques avant l’alerte de Progress.
En d’autres termes, les pirates informatiques avaient une longueur d’avance. Et si vous écoutez Progress, cet avantage, ainsi que l’agressivité de Clop et la nature de plus en plus entrelacée des données, logiciels et chaînes d ’approvisionnement dans notre monde numérique, sont des raisons clés pour lesquelles tant d’agences et d’entreprises découvrent toujours qu’elles ont subi des violations MOVEit.
L’autre raison, selon les experts, est que de nombreuses entreprises n’ont pas pris la nécessité de corriger aussi sérieusement qu’elles le devraient.
procrastination des correctifs ? Il peut s’agir du véritable coupable de MOVEit
Il est difficile d’évaluer si c’est vrai ou non. Mais des chercheurs en sécurité tels que Huntress, qui ont recréé avec succès la chaîne d’attaque couramment utilisée pour exploiter la vulnérabilité MOVEit, ont déclaré que le correctif du logiciel Progress « empêche efficacement notre exploit recréé ».
« C’est très Log4j-esque. »John Hammond, chercheur en cybersécurité chez Huntress
Les progrès suggèrent que de nombreuses organisations n’ont probablement pas installé le correctif, car elles n’ont peut-être pas pris la menace aussi au sérieux qu’elles auraient dû ou n’avaient pas le temps et les ressources nécessaires pour y parvenir suffisamment rapidement. De plus, étant donné que MOVEit est utilisé sur l’ensemble des chaînes d’approvisionnement, il est tout à fait possible que certaines organisations informatiques ne sachent même pas qu’elles ou leurs partenaires utilisaient le produit de transfert de fichiers.
En ce sens, « c’est très Log4j-esque », déclare John Hammond, chercheur en cybersécurité chez Huntress, en faisant référence à la vulnérabilité Apache qui est une menace persistante depuis sa découverte en novembre 2021. Selon certaines estimations, 72 % des organisations y sont toujours vulnérables.
Comment minimiser la menace de la violation MOVEit
Alors, que peut faire une organisation si elle n’a pas déjà pris de mesures pour se protéger ? Les experts recommandent ces précautions :
1. Audit
Vous devez savoir si vous ou vos fournisseurs avez MOVEit et si cela pourrait vous affecter. Faites un inventaire des applications et des actifs pour déterminer si vous avez des serveurs MOVEit dans votre pile technologique. Vous voudrez également contacter les fournisseurs et les tenir responsables de la sécurité de toutes les technologies qu’ils utilisent. Le cabinet technique Prevalent dispose d’une liste utile de questions que vous pouvez poser pendant ces conversations. « Même si ce qu’ils ont n’est pas dans vos prétentions, c’est toujours un composant qui affecte la manière dont vous protégez vos opérations », déclare Hammond.
2. Patch
Énoncez l’évidence ici, mais vous jouez avec l’existence de votre entreprise, votre réputation et votre statut juridique si vous n’ installez pas tous les correctifs. Progress a déclaré qu’elle émettra désormais des Service Packs tous les deux mois environ. Faites attention à cela. Selon un rapport de Bitsight, la plupart des organisations semblent comprendre la nécessité de mettre à jour et ont progressé 21 fois plus rapidement que ce qui est considéré comme typique pour remédier à ce problème. Par conséquent, le nombre d’organisations vulnérables au défaut a chuté de somewhat—77 % des organisations initialement affectées ne sont plus vulnérables, selon Bitsight. Bien sûr, cela signifie que 23 % restent vulnérables aux attaques.
[Lire également : Qu’est-ce que l’automatisation de la sécurité ?]
3. Désactiver
Progress recommande également de désactiver tout le trafic HTTP et HTTPS vers votre environnement de transfert MOVEit comme atténuation importante. Plus précisément, vous souhaitez modifier les règles de pare-feu pour refuser le trafic HTTP et HTTPS vers MOVEit Transfer sur les ports 80 et 443 jusqu’à ce que le correctif puisse être appliqué.
4. Segment
Tim Morris, de Tanium, recommande également de prêter une attention particulière à l’endroit où vous stockez les données et de s’assurer qu’elles ne sont pas situées au même endroit que MOVEit pendant une durée quelconque. « En extrayant les données de la périphérie et en les sécurisant, cela réduit efficacement le « rayon de projection », déclare Morris. « Cela limite ce qu’un pirate informatique peut voler et minimise l’effet du bug, ce qui fait de MOVEit un proxy qui déplace rapidement les données, mais ne les stocke pas. »
5. Surveiller
Morris affirme qu’il est également essentiel de surveiller les ports, protocoles et services réseau, et de s’assurer que les configurations de sécurité sur les appareils de l’infrastructure réseau, tels que les routeurs et les pare-feux, sont activées.
6. Fortifier
Les experts suggèrent également un certain nombre d’ étapes de cyberhygiène de bon sens, notamment :
- Mise à jour des règles de pare-feu réseau pour autoriser les connexions à l’infrastructure MOVEit uniquement à partir d’adresses IP approuvées.
- Examiner et supprimer les comptes d’utilisateurs non autorisés, une tâche essentielle qui est trop fréquemment poussée sur la liste des tâches de sécurité d’une organisation.
- Limiter l’accès aux fichiers aux personnes qui sont déjà authentifiées par le réseau, en accordant des privilèges d’administrateur uniquement lorsque cela est absolument nécessaire.
- Mise à jour des politiques d’accès à distance pour autoriser les connexions entrantes uniquement à partir d’adresses IP approuvées.
- Activation de l’authentification multifacteur (AMF) pour protéger les comptes MOVEit des utilisateurs non vérifiés.
- Le pré-cryptage des fichiers sensibles à l’aide d’algorithmes réels tels que Advanced Encryption Standard (AES), un chiffrement de bloc symétrique qui peut aider à chiffrer et décrypter rapidement les informations transférées (pensez à AES comme un code secret super sécurisé qui transforme les messages en baiser que seule la bonne personne peut comprendre).
7. Observer
Comme les réalisateurs hollywoodiens, les pirates informatiques suivent les tendances. Si les chercheurs trouvent une vulnérabilité dans une catégorie de logiciels particulière et que les gangs de ransomware l’exploitent de manière rentable, des failles et cyberattaques similaires ont tendance à suivre.
Les attaques de transfert de fichiers sont en vogue en ce moment, et ce n’est peut-être pas la dernière fois que nous entendons parler d’exploits impliquant MOVEit. Même si les forces de l’ordre réussissent à éliminer Clop à un moment donné, il reste essentiel de lire les actualités, de surveiller les alertes et les lettres des fournisseurs et de rechercher les indicateurs connus de compromissions, car il y aura toujours de mauvais acteurs. Pour les mises à jour du transfert MOVEit, cliquez ici. Pour MOVEit Cloud, regardez ici.
« J’ai l’impression que les violations de MOVEit vont poser problème beaucoup plus longtemps que nous ne le pensions initialement, en leur apportant toutes sortes de maux de tête coûteux », déclare Morris. « Mais si vous corrigez et pratiquez une cyberhygiène raisonnable, vous devriez être en mesure de minimiser tout risque d’être affecté par ce problème. »
