Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon El masivo ciberataque a MOVEit amenaza los datos privados de empleados de grandes empresas del mundo

jueves, 8 de junio de 2023 | Publicado por el-brujo | Editar entrada

El grupo de ransomware Cl0p ha hackeado el al software comercial MOVEit y amenaza con filtrar  datos personales (incluidas nóminas) de más de 100.000 empleados de la BBC, British Airways y Boots 





La prolífica banda de delincuentes cibernéticos Clop, probablemente con sede en Rusia, ha dado un ultimátum a las víctimas de un ciberataque que ha afectado a organizaciones de todo el mundo. 

El grupo de piratas informáticos Clop advirtió en la dark web (web oscura) a las empresas afectadas por el ataque al software comercial MOVEit (CVE-2023-3462) que si no les envían un correo electrónico antes del 14 de junio para empezar negociaciones, se publicarán los datos robados.



  • Más de 100.000 empleados de la BBC, British Airways y Boots han sido informados de que es posible que se hayan filtrado datos de sus nóminas.

Las autoridades siempre recomiendan a las empresas afectadas que no paguen si los piratas informáticos exigen dinero.

Una investigación de seguridad cibernética ya había sugerido que el grupo Clop podría ser responsable del ataque, que se dio a conocer públicamente la semana pasada.

Los delincuentes encontraron una manera de meterse en el popular software comercial MOVEit y luego pudieron usar ese acceso para ingresar a las bases de datos de posiblemente cientos de otras compañías.

Con base en las técnicas utilizadas por el grupo, los analistas de Microsoft dijeron el lunes que creían que el grupo Clop estaba detrás del ataque.

Es algo que ha quedado confirmado en un extenso blog publicado en mal inglés.

El texto, visto por la BBC, dice: "Este es un anuncio para hacer saber a las empresas que usan el producto Progress MOVEit de que es probable que hagamos públicos una gran cantidad de sus datos como parte de un acción excepcional".


El texto insta a las organizaciones víctimas a enviar un correo electrónico a la banda de delincuentes para comenzar una negociación en la dark web.

Inusual

Esta es una táctica inusual, ya que normalmente son los piratas informáticos quienes envían solicitudes de pago extorsivo por correo electrónico a las organizaciones que han sufrido el ataque, pero aquí están exigiendo que sean las víctimas las que se comuniquen en primer lugar.

Esto podría deberse a que Clop aún no entiende la escala del hackeo que ha cometido y que aún se está procesando en todo el mundo.



"Mi opinión es que tienen tantos datos que les resulta difícil estar al tanto de todo. Están apostando a que, si sabes que has sido hackeado, contactarás con ellos", dice el director ejecutivo de SOS Intelligence, Amir Hadžipasić.

MOVEit pertenece a la empresa estadounidense Progress Software.

Progress Software anunció el descubrimiento de tres vulnerabilidades:



Sirve para que muchas compañías muevan archivos de forma segura en los sistemas de la empresa.

El proveedor de servicios de nómina Zellis, con sede en el Reino Unido, es uno de sus usuarios.

Zellis ha confirmado que, como resultado del hackeo, se han robado datos de ocho organizaciones de Reino Unido, que incluyen domicilios, números de seguros nacionales y, en algunos casos, datos bancarios.

No todas las empresas han visto los mismos datos expuestos.

Los clientes de Zellis que han sido hackeados incluyen:

  • BBC
  • British Airways
  • Aer Lingus
  • Boots

El gobierno de la provincia canadiense de Nueva Escocia y la Universidad de Rochester también han advertido a su personas que es posible que hayan sido víctimas.

Las empresas públicas

El consejo de los expertos es que las personas no entren en pánico y que las organizaciones lleven a cabo controles de seguridad emitidos por autoridades como la Autoridad de Infraestructura y Seguridad Cibernética de los Estados Unidos.

Clop afirma que ha eliminado todos los datos de los servicios gubernamentales, municipales o policiales.

"No se preocupe, borramos sus datos, no necesita contactarnos. No tenemos ningún interés en exponer dicha información", escribió el grupo.

Sin embargo, los investigadores dicen que no se puede confiar en los criminales.

"La afirmación de Clop de haber eliminado información relacionada con organizaciones del sector público debe tomarse con precaución. Si la información tiene valor monetario o podría usarse para phishing, es poco probable que la hayan eliminado", dijo Brett Callow, analista de Emsisoft.

Los expertos en seguridad cibernética han rastreado durante mucho tiempo los movimientos de Clop, que se cree que tiene su sede en Rusia, ya que opera principalmente en foros en ruso.

Rusia ha sido acusada durante mucho tiempo de ser un refugio seguro para las bandas de cibersecuestro de datos, lo cual niega.

Sin embargo, Clop se ejecuta como un grupo de "ransomware como servicio", lo que significa que los piratas informáticos pueden alquilar sus herramientas para llevar a cabo ataques desde cualquier lugar.

En 2021, presuntos piratas informáticos de Clop fueron arrestados en Ucrania en una operación conjunta entre Ucrania, Estados Unidos y Corea del Sur.

En ese momento, las autoridades afirmaron haber eliminado al grupo que, según dijeron, era responsable de extorsionar US$500 millones a víctimas en todo el mundo.

Pero Clop ha seguido siendo una amenaza persistente.

Información sobre la vulnerabilidad CVE-2023-34362 de MOVEit Transfer y MOVEit Cloud

El 31 de mayo de 2023, Progress Software publicó un parche para CVE-2023-34362, una vulnerabilidad de inyección SQL que podría permitir a los atacantes hacerse con el control total de una instalación de MOVEit. (Con este nivel de acceso, los atacantes podrían alterar o robar datos, instalar software malicioso como web shells, y alterar la configuración del servidor (incluyendo la creación de nuevas cuentas o la alteración de las existentes), entre otras acciones.

Como indica el aviso de Progress para clientes locales, todos los clientes locales de MOVEit deben aplicar las medidas de mitigación indicadas en el aviso lo antes posible e implantar el parche tan pronto como sea posible. Los clientes de MOVEit en la nube deben leer y seguir las directrices del aviso de Progress para clientes en la nube.

Los informes públicos indican que los ataques, contra esta vulnerabilidad, fueron verdaderos “ataques de día cero” y pueden haber comenzado ya el 27 de mayo de 2023, antes de que hubiera un parche disponible o de que la vulnerabilidad se divulgara o discutiera públicamente.

Estos informes también indican que los ataques conocidos contra esta vulnerabilidad se han centrado en crear web shells en sistemas vulnerables y utilizar ese acceso para robar datos de los sistemas comprometidos.

El 4 de junio de 2023, Microsoft Threat Intelligence atribuyó estos ataques a “Lace Tempest”, que es “conocido por operaciones de ransomware y por gestionar el sitio de extorsión Cl0p”. Lace Tempest también es rastreado en la industria como FIN11, DEV-0950 y TA505.

Fuentes:

https://www.bbc.com/mundo/noticias-65834916

https://news.sophos.com/es-es/2023/06/07/informacion-sobre-la-vulnerabilidad-cve-2023-34362-de-moveit-transfer-y-moveit-cloud/


Etiquetas: , ,

0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.