Ein Cyberangriff auf den Dokumententransferdienst MOVEit führte zu einer Reihe von Datenschutzverletzungen bei namhaften Unternehmen, darunter PricewaterhouseCooper (PwC), Ernst and Young (EY), Health Service Ireland und der Lohnbuchhaltungsanbieter Zellis.

Die Ransomware-Bande Clop hat eine kritische Zero-Day-Schwachstelle in der Infrastruktur von MOVEit genutzt, um in die Netzwerke verschiedener Unternehmen einzudringen und Daten zu stehlen. Die kritische Sicherheitslücke wurde erstmals Anfang Juni von Sicherheitsforschern und der US-Regierung erkannt. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) forderte alle Unternehmen, die MOVEit nutzen, auf, ihre Netzwerke zu analysieren, um festzustellen, ob sich die böswilligen Akteure in den letzten 30 Tagen unbefugt Zugang zu ihren Netzwerken verschafft haben. Außerdem wurden sie angewiesen, den von MOVEit veröffentlichten Software-Patch herunterzuladen und zu installieren, um die Sicherheitslücke zu schließen. Nach den ersten Berichten über die MOVEit-Schwachstelle und deren aktiver Ausnutzung beobachteten Sicherheitsexperten und Netzwerkbesitzer eine stetige Freisetzung von Opfern über die Clop-Leak-Site. Oberflächlich betrachtet scheint dies darauf hinzudeuten, dass die Sicherheitslücke weiterhin aktiv ausgenutzt wurde, auch nachdem ein Patch für CVE-2023-34362 veröffentlicht wurde.

Eine genauere Analyse deutet jedoch auf etwas potenziell Beunruhigenderes hin: ein anfänglicher, weit verbreiteter Erfolg bei der Ausnutzung von anfälligen, zugänglichen MOVEit-Installationen, gefolgt von einer langsamen und stetigen Weiterverfolgung der kompromittierten Aktivitäten durch die Angreifer. Bemerkenswerterweise folgt dies dem Verhalten einer ähnlichen, von Clop geführten Kampagne gegen Managed-File-Transfer-Dienste (MFT): Die Ausnutzung von GoAnywhere MFT führte zur Datenexfiltration, aber es gab keine öffentlichen Hinweise auf eine Netzwerkverschlüsselung. Hier ist somit eine Veränderung beobachtbar - von der absichtlichen Kompromittierung ganzer Netzwerkumgebungen für den Einsatz von Ransomware hin zur opportunistischen Ausnutzung von Schwachstellen für die nicht autorisierte Verschiebung von Daten.

‍

Quellen: Move It on Over: Reflecting on the MOVEit Exploitation; The top five cyber security incidents in June 2023