MOVEit: حدّث، ثم ابحث عن الـweb shell

الأسبوع الماضي أعلنت Progress عن ثغرة SQL injection حرجة في MOVEit Transfer، منتجها لنقل الملفات. وكان المهاجمون يستغلونها قبل الإعلان، والآن أعلنت عصابة Cl0p مسؤوليتها. هم لا يشفّرون شيئًا، بل يسرقون الملفات ثم يطلبون المال.

إن كنت تشغّل MOVEit Transfer:

1. طبّق التحديث لإصدارك الآن. وإن لم تستطع، فامنع حركة HTTP وHTTPS إليه حتى تستطيع، كما تنصح Progress.
2. ابحث عن علامات دخولهم قبل التحديث. العلامة المعروفة ملف web shell باسم human2.aspx في مجلد الويب، وحسابات مدير جديدة أو غير متوقعة.
3. راجع السجلات منذ أواخر مايو بحثًا عن تنزيلات كبيرة وعناوين IP غير معروفة.
4. إن وجدت شيئًا، فتعامل معه كتسريب بيانات: حدّد الملفات التي كانت موجودة، واطلب استشارة قانونية بشأن من يجب إبلاغه.

وإن لم تكن تشغّله بنفسك، فاسأل مورّديك ومزوّد الرواتب وشركاءك إن كانوا يستخدمونه. كثير من الضحايا سيكونون شركات لم تسمع بـMOVEit من قبل.