MoveIt Transfer 결함으로 인해 데이터 침해 공개가 급증함

Progress Software의 MoveIt Transfer 제품에 존재하는 치명적인 제로데이 결함으로 인해 HR 소프트웨어 제공업체인 Zellis와 캐나다 노바스코샤 정부 등의 조직에 대한 공격이 쇄도했습니다.

이 결함은 Progress가 현재 CVE-2023-34362로 추적되는 MFT(관리형 파일 전송) 소프트웨어 MoveIt Transfer에서 SQL 주입 버그를 자세히 설명하면서 5월 31일에 대중에게 알려졌습니다. Progress는 고객에게 그날 늦게 릴리스된 패치를 작업하는 동안 이미 공격을 받고 있는 취약점에 대한 완화 조치를 즉시 적용할 것을 촉구했습니다. Rapid7과 같은 보안 공급업체는 이 결함이 실제로 활발하게 악용되고 있다고 곧 보고했습니다. 마이크로소프트는 이번 공격이 Clop 랜섬웨어 갱단과 연계된 "Lace Tempest"라는 위협 행위자에 의한 것이라는 새로운 연구 결과를 발표했습니다.

이제 여러 조직에서 결함을 직접적으로 또는 다운스트림을 통해 취약점으로 인해 발생한 데이터 침해를 확인했습니다. 영국에 본사를 둔 Zellis는 월요일 언론 성명에서 "소수의 고객이 이 글로벌 문제로 영향을 받았으며 우리는 그들을 지원하기 위해 적극적으로 노력하고 있습니다"라고 말했습니다.

성명서는 "이 사건을 인지한 후 즉시 조치를 취하여 MoveIt 소프트웨어를 사용하는 서버의 연결을 끊고 전문가 외부 보안 사고 대응 팀을 참여시켜 포렌식 분석과 지속적인 모니터링을 지원했습니다"라고 밝혔습니다. "우리는 또한 영국과 아일랜드의 ICO, DPC 및 NCSC에 통보했습니다. 우리는 모든 서비스에 걸쳐 강력한 보안 프로세스를 사용하고 있으며 모두 정상적으로 계속 실행됩니다."

BBC, 영국항공(BA) 및 영국 소매업체 Boots는 모두 이 결함으로 인한 공격을 확인했으며 BA는 TechTarget 자매 간행물인 ComputerWeekly를 통해 해당 침해가 Zellis'에서 시작되었다고 확인했습니다.

캐나다 노바스코샤 정부도 화요일 보도 자료를 통해 MoveIt Transfer와 관련된 공격을 확인했습니다. 정부는 이번 해킹으로 전·현직 공무원 10만명의 개인정보가 훼손된 것으로 추산했다.

보도 자료에서는 "주에서는 MoveIt 글로벌 사이버 보안 침해 사건으로 인해 Nova Scotia Health, IWK Health Center 및 공공 서비스의 많은 직원의 개인 정보가 도난당했다고 판단했습니다"라고 밝혔습니다. "현재까지 도 조사 결과 사회보장번호, 주소, 은행정보 등이 도난당한 것으로 드러났다. 정보의 양과 종류는 고용주에 따라 다르다. 무브잇 파일 전송 서비스는 직원 급여 이체에 사용되기 때문에 해당 정보를 무브잇 파일 전송 서비스를 통해 공유했다. 정보."

뉴욕에 본사를 둔 University of Rochester는 6월 2일에 침해 사실을 공개했지만 MoveIt Transfer라는 이름은 언급하지 않았습니다. 이 보고서는 "제3자 파일 전송 회사가 제공하는 제품의 소프트웨어 취약점"이 "대학과 전 세계 약 2,500개 조직에 영향을 미쳤다"는 공격의 근원을 언급했습니다.

"현재 우리는 교수진, 교직원, 학생이 영향을 받을 수 있다고 생각하지만, 조사가 진행 중이기 때문에 대학 커뮤니티 구성원에게 미치는 영향의 전체 범위나 어떤 개인 데이터에 액세스했는지 아직 알 수 없습니다." 읽다. "가능한 한 빨리 업데이트를 제공하겠습니다."

TechTarget Editorial은 해당 공격이 MoveIt Transfer와 연관되어 있는지 확인하기 위해 대학에 연락했지만, 보도 당시 대학은 응답하지 않았습니다.

Clop은 이번 주 초 데이터 유출 사이트를 통해 해당 조직이 6월 14일까지 랜섬웨어 갱단에 연락하지 않으면 피해자의 이름을 사이트에 게시하기 시작할 것이라고 발표했습니다. 사후에 침투 테스트 서비스를 제공한다”고 밝혔으며, 결제가 이루어지지 않으면 7일 후에 피해자의 데이터를 공개하기 시작할 것이라고 밝혔습니다.

이상하게도 Clop은 정부 기관, 시 서비스 또는 경찰서의 모든 데이터를 삭제했으며 그러한 조직은 랜섬웨어 조직에 연락할 필요가 없다고 발표했습니다. 클롭은 "우리는 그러한 정보를 노출할 관심이 없다"고 말했다.