تهدید قربانیان هک کلئو توسط گروه باج‌افزاری کلوپ

به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، کلوپ (Clop) یک گروه باج‌افزاری سایبری است که گمان می‌رود در روسیه مستقر باشد.

این گروه اوایل ماه جاری مسئولیت حملات گسترده‌ای را به نرم‌افزارهای هارمونی (Harmony)، وی ال تریدر (VLTrader) و لکسیکام ام اف تی (LexiCom MFT) که توسط شرکت کلئو (Cleo) در راکفورد آمریکا توسعه یافته‌اند، بر عهده گرفت.

در یک به‌روزرسانی که در تاریخ ۲۴ دسامبر در سایت دارک وب این گروه منتشر شد، کلوپ اعلام کرد که اطلاعات تعداد زیادی از شرکت‌هایی که از کلئو استفاده می‌کنند را در اختیار داشته و ظرف ۴۸ ساعت فهرستی از حداقل ۶۶ شرکت هک‌شده را منتشر خواهد کرد.

این گروه پس از آنکه پنج کاراکتر اول نام این شرکت‌ها را منتشر کرد، اظهار داشت که با شرکت‌ها تماس گرفته و دستورالعمل‌های باج‌گیری را ارسال کرده است.

کلئو در تاریخ ۱۱ دسامبر، پس از مشاهده نشانه‌های بهره‌برداری گسترده، یک وصله امنیتی را برای کاربران منتشر کرد.

به نظر می‌رسد هکرها از یک آسیب‌پذیری آپلود فایل بدون محدودیت که با نامCVE-2024-50623  شناخته می‌شود، سوءاستفاده کرده‌اند.

وصله‌ای که در ماه اکتبر منتشر شده بود ظاهراً نتوانسته به طور کامل از این حملات جلوگیری کند.

تحلیل شرکت رپید 7 (Rapid7) نشان داد که مهاجمان ممکن است از یک آسیب‌پذیری جدید نوشتن فایل (CVE-2024-55956) برای نوشتن یک فایل میزبان مخرب در سیستم هدف و سپس بهره‌برداری از CVE-2024-50623 برای دستیابی به اطلاعات کاربری لازم و اجرای فایل مخرب استفاده کرده باشند که امکان اجرای کد از راه دور را فراهم می‌کند.

کلئو به مشتریان خود اعلام کرده که به شدت توصیه می‌کند که بلافاصله آخرین به‌روزرسانی امنیتی را اعمال کنند.

مدت زمان سوءاستفاده مهاجمان از یکی یا هر دو آسیب‌پذیری هنوز مشخص نیست.

شرکت آرکتیک ولف (Arctic Wolf) در یک پست وبلاگی در روز پنجشنبه اعلام کرد که این کمپین از ۷ دسامبر آغاز شده و همچنان ادامه دارد.

کلوپ سابقه طولانی در سوءاستفاده گسترده از آسیب‌پذیری‌های روز صفر نرم‌افزارهای انتقال فایل دارد.

در روز یادبود سال ۲۰۲۳، حمله‌ای با برنامه‌ریزی دقیق به نرم‌افزار موو ایت (MOVEit) انجام داد که منجر به تأثیر مستقیم یا غیرمستقیم بر بیش از ۲,۷۷۰ سازمان و افشای اطلاعات مربوط به بیش از ۹۵ میلیون نفر شد.

همچنین، در اوایل سال ۲۰۲۳، این گروه مسئولیت حمله‌ای بزرگ را پذیرفت که از یک آسیب‌پذیری روز صفر برای سرقت اطلاعات مشتریان نرم‌افزار انتقال فایل مدیریت‌شده گو انی ور ام اف تی (GoAnywhere MFT) استفاده کرد.

در دسامبر ۲۰۲۰، این گروه از آسیب‌پذیری‌های روز صفر در نرم‌افزار انتقال فایل اکسلیون (Accellion File Transfer Appliance) برای اجرای حملات جهانی بهره برد.