MOVEit Transfer (CVE-2023-34362)

Ende Mai 2023 begann die Erpressergruppe Cl0p, in großem Stil Dateien bei Organisationen zu stehlen, die MOVEit Transfer einsetzten. Der Hersteller Progress veröffentlichte sein Advisory erst am 31. Mai. Die Vorbereitung reichte viel weiter zurück: Kroll fand in Logs von Kunden Spuren, die darauf hindeuten, dass Cl0p den Angriff schon im Juli 2021 testete. Was daraus wurde, war eine der breitesten Datendiebstahlkampagnen bislang.

Was ist CVE-2023-34362

MOVEit Transfer ist Software, mit der Organisationen Dateien sicher austauschen. In der Weboberfläche steckte eine SQL Injection: Eingaben eines nicht angemeldeten Besuchers landeten direkt in einer Datenbankabfrage. Damit konnte ein Angreifer die Datenbank auslesen und verändern, sich ein gefälschtes Zugriffstoken mit Systemadministratorrechten verschaffen und von dort aus den Server Code ausführen lassen.

Warum eine SQL Injection hier so schwer wiegt

In den meisten Anwendungen liefert eine SQL Injection Daten. Hier lag in der Datenbank genau das, was die Software schützen sollte: die Verweise auf jede ausgetauschte Datei. Wer die Datenbank liest, liest damit den gesamten Dateiaustausch der Organisation.

Dazu kam eine zweite Stufe. Das gefälschte Sysadmin-Token verschaffte dem Angreifer Zugriff auf die MOVEit-API. Über die SQL Injection schleuste er dann ein manipuliertes, serialisiertes Objekt in die Datenbank. Als die Anwendung es später ohne jede Prüfung deserialisierte, also wieder in ein lauffähiges Objekt zurückverwandelte, lief der Code des Angreifers. Damit ging der Angriff in Remote Code Execution über. Erst danach installierte Cl0p die Web-Shell, die zum Kennzeichen der Kampagne wurde: human2.aspx, benannt nach der legitimen Datei human.aspx und als LEMURLOOT bekannt, mit der die Gruppe Daten aus der Datenbank abzog.

Die Kette hinter Ihrer Kette

Wer MOVEit gar nicht einsetzte, konnte trotzdem betroffen sein. Lohnabrechnungsdienstleister, Verwalter von Pensionsplänen und Verwaltungsabteilungen im Gesundheitswesen nutzten es, um Dateien mit ihren Kunden auszutauschen, die gestohlenen Daten gehörten also häufig Organisationen, die die Software nie gesehen hatten. Das macht den Fall ebenso lehrreich für Lieferantenrisiken wie für Injection.

Was jetzt zu tun ist

• Wenn Sie MOVEit Transfer betreiben, sorgen Sie dafür, dass es auf einer von Progress noch unterstützten Version mit allen aktuellen Patches läuft, und prüfen Sie, ob seit Mai 2023 unbekannte Dateien wie human2.aspx im Webverzeichnis aufgetaucht sind.
• Stellen Sie Plattformen für Dateiaustausch nicht ohne Not direkt ins Internet. Eine Zugangsschicht davor verkleinert die Angriffsfläche erheblich.
• Fragen Sie Ihre Lieferanten, welche Plattformen sie für den Datenaustausch mit Ihnen nutzen und wie sie diese patchen.
• Lassen Sie internetseitige Anwendungen regelmäßig testen. Eine solche Injection gehört zum Standardrepertoire eines Penetrationstests.