ملخص تنفيذي

كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر اكتشفت عددًا من الشركات التي تستهدفها مجموعة برامج الفدية المسماة Cl0p مؤخرًا. لقد كان أيضًا تم تأسيسها من قبل بعض الباحثين أن مجموعة برامج الفدية CL0p كانت استغلال CVE-2023-0669 في برنامج GoAnywhere MFT. كان استغلال CVE هذا متاحًا قبل يوم واحد من إصدار التصحيح (7.1.2) في 7 فبراير 2023. تم العثور على العديد من لوحات الإدارة الضعيفة لـ GoAnywhere مفهرسة على Shodan التي تعمل على المنفذ 8000.

‍

CL0p ransomware عبارة عن سلالة رفيعة المستوى من برامج الفدية نشطة منذ عام 2019. كما تشتهر المجموعة على نطاق واسع بـ تكتيك «الابتزاز المزدوج»، حيث يتم تهديد البيانات المسروقة أيضًا بالإفراج عنها ما لم يتم دفع فدية.

حدثت الثغرة الأمنية بسبب خطأ إلغاء التسلسل تم استغلاله عن طريق إرسال طلب نشر إلى نقطة النهاية عند '/اذهب إلى أي مكان/ليك/أقبل '. وحدة Metasploit متاحة أيضًا لاستغلالها.

‍

GoAnywhere MFT هي أداة تساعد الأشخاص على مشاركة الملفات بأمان بين مختلف الأنظمة والموظفين والعملاء والشركاء.

‍

تحليل مفصل

واجهة عميل الويب GoAnywhere (التي يمكن الوصول إليها عمومًا من الإنترنت) ليست عرضة لهذا الاستغلال، فقط الواجهة الإدارية هي. يمكن للجهات الفاعلة في مجال التهديد أيضًا البحث عن واجهات عميل الويب على الإنترنت ثم محاولة العثور على لوحات الإدارة على نفس عنوان IP.

‍

‍

تشير نتائج بحث Shodan إلى أن الآلاف من لوحات الويب لـ GoAnywhere معروضة على الويب. من بين هؤلاء الآلاف، يعمل حوالي 94 منها على المنفذ 8000 أو المنفذ 8001 حيث توجد لوحة الإدارة (منفصلة عن لوحة الويب). من أجل تنفيذ التعليمات البرمجية عن بُعد، يجب تقديم طلب نشر فقط إلى نقطة النهاية الضعيفة.

الولايات المتحدة الأمريكية يحتوي على غالبية مثيلات GoAnywhere MFT الضعيفة هذه، وبالتالي فإن معظم الضحايا الجدد لمجموعة CL0p ransomware هم من تلك المنطقة.

‍

حول برنامج الفدية CL0p

CL0p ransomware عبارة عن سلالة رفيعة المستوى من برامج الفدية نشطة منذ عام 2019. تعد برامج الفدية سلالة معقدة للغاية وخطيرة كانت شائعة لاستهداف خوادم Microsoft Exchange تاريخيًا من خلال استغلال نقاط ضعف ProxyShell. في الماضي، استهدفت المجموعة أيضًا قطاع الرعاية الصحية بشكل أساسي وتلاحق خوادم البيانات التي تحتوي على معلومات حساسة.

كما تشتهر المجموعة على نطاق واسع بتكتيك «الابتزاز المزدوج»، حيث يتم تهديد البيانات المسروقة أيضًا بالإفراج عنها ما لم يتم دفع فدية.

نواقل الهجوم الشائعة

بينما يتم توزيع برامج الفدية عادةً من خلال تقنيات متعددة، فإننا نرى زيادة في عدد الضحايا بسبب الثغرات الأمنية في برامج الخادم. نظرًا لوجود العديد من الشركات التابعة للمجموعة، إليك بعض التقنيات المختلفة التي تستخدمها المجموعة.

• رسائل البريد الإلكتروني المخادعة
• نقاط الضعف المستغلة
• إمكانية الانتشار من خلال أوراق الاعتماد المسربة من سارقي المعلومات.
• يتم استغلال صفر أيام بنشاط في البرية.

‍

تحليل نقاط الضعف

الثغرة الأمنية هي خطأ إلغاء التسلسل غير الآمن الذي يسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE). يوجد الكود الضعيف في وحدة التحكم الإدارية لـ GoAnywhere MFT ويعتمد عليه مجموعات مكتبة تبادل الرسائل المجمعة. يمكن العثور على الكود الضعيف في فئة تسمى خدمة الاستجابة للترخيص الذي يمتد خادم HTTP.

‍

‍

‍

سبب الثغرة الأمنية هو دوبوست الطريقة التي تأخذ معلمة إدخال مستخدم لم يتم التحقق منها ثم تمررها إلى استدعاء الأسلوب في [2]، مما يؤدي إلى ترخيص A.P. احصل على استجابة طريقة. من هناك، تنتقل الثغرة الأمنية إلى com.linoma.license.gen2. وحدة التحكم في الترخيص. احصل على استجابة الطريقة، حيث تكون الشفرة عرضة بالفعل لإلغاء التسلسل.

‍

أ وحدة ميتاسبلوت متاح أيضًا لاستغلال هذه الثغرة الأمنية. أ أداة POC تم إصداره أيضًا على GitHub الذي يأخذ الكائن الذي يحتوي على شفرة ضارة مخزنة في ملف bin ويقوم بتشفيره. يتم إرسال الكائن المشفر عبر طلب نشر إلى نقطة النهاية الضعيفة في '/اذهب إلى أي مكان/ليك/أقبل ' وبعد ذلك تحاول المكتبة إلغاء تسلسلها ويتم تنفيذ التعليمات البرمجية عن بُعد.

‍

‍

التخفيف

• قم بتحديث نظامك وتوقف عن كشف المنفذ 8000 حيث توجد لوحة إدارة GoAnywhere MFT على الإنترنت.
• قم بتسجيل الدخول إلى حسابك واتبع الخطوات المذكورة في إرشادات الأمان على اذهب إلى أي مكان.
• راجع حسابات المستخدمين الإداريين بحثًا عن أي نشاط مريب، بما في ذلك أسماء المستخدمين غير المعروفة، والحسابات التي تم إنشاؤها بواسطة «النظام» والتي لم يتم التعرف عليها، والتوقيت المريب لإنشاء الحساب، والمستخدمين المتميزين غير الموجودين أو المعطلين الذين ينشئون حسابات.
• اتصل بدعم GoAnywhere MFT عبر البوابة أو البريد الإلكتروني أو الهاتف للحصول على المساعدة.

المراجع

• *مصدر الذكاء وموثوقية المعلومات - ويكيبيديا
• ^#بروتوكول إشارات المرور - ويكيبيديا
• منشور بريان كريبس على إنفوسيك إكستشينج
• GoAnywhere MFT - خطأ منسي | يوميات فريكوس الأمنية 

‍