MOVEit Transfer (CVE-2023-34362)

Eind mei 2023 begon de afpersingsgroep Cl0p op grote schaal bestanden te stelen bij organisaties die MOVEit Transfer gebruikten. Leverancier Progress publiceerde zijn advies pas op 31 mei. De voorbereiding ging veel verder terug: Kroll vond in logs van klanten sporen die erop wijzen dat Cl0p de aanval al in juli 2021 testte. Wat volgde was een van de breedste datadiefstalcampagnes tot nu toe.

Wat is CVE-2023-34362

MOVEit Transfer is software waarmee organisaties bestanden veilig met elkaar uitwisselen. In de webinterface zat een SQL injection: invoer van een niet-ingelogde bezoeker belandde rechtstreeks in een databasequery. Daarmee kon een aanvaller de database uitlezen en aanpassen, een vervalst toegangstoken met systeembeheerdersrechten bemachtigen en van daaruit de server code laten uitvoeren.

Waarom een SQL injection hier zo zwaar weegt

Bij de meeste toepassingen levert een SQL injection gegevens op. Hier lag in de database precies dat wat de software moest beschermen: de verwijzingen naar elk uitgewisseld bestand. Een aanvaller die de database leest, leest daarmee de bestandsuitwisseling van de hele organisatie.

Daar kwam een tweede stap bovenop. Met het vervalste sysadmin-token kreeg de aanvaller toegang tot de API van MOVEit. Via de SQL injection plaatste hij vervolgens een gemanipuleerd, geserialiseerd object in de database. Toen de applicatie dat later zonder enige controle deserialiseerde, dus weer tot een werkend object omzette, werd de code van de aanvaller uitgevoerd. Daarmee ging de aanval over in remote code execution. Pas daarna installeerde Cl0p de webshell die het kenmerk van de campagne werd: human2.aspx, vernoemd naar het legitieme human.aspx en bekend als LEMURLOOT, waarmee de groep data uit de database haalde.

De keten achter uw keten

Wie MOVEit niet gebruikte, kon alsnog geraakt worden. Salarisverwerkers, pensioenuitvoerders en zorgadministraties gebruikten het om bestanden met hun klanten uit te wisselen, dus de gestolen gegevens waren vaak van organisaties die de software nooit hadden gezien. Dat maakt dit ook een leerzaam voorbeeld over leveranciersrisico.

Wat u nu moet doen

• Draait u MOVEit Transfer, zorg dan dat het op een versie staat die Progress nog ondersteunt, met alle actuele patches, en controleer of er sinds mei 2023 onbekende bestanden zoals human2.aspx in de webmap zijn verschenen.
• Zet platforms voor bestandsuitwisseling niet zonder noodzaak rechtstreeks aan het internet. Een toegangslaag ervoor verkleint het aanvalsoppervlak aanzienlijk.
• Vraag uw leveranciers welke platforms zij gebruiken om gegevens met u uit te wisselen, en hoe zij die patchen.
• Laat internetgerichte toepassingen periodiek testen. Een injectie als deze wordt in een penetratietest standaard gezocht.