MOVEit 2023 : comment Cl0p a exploité un zero-day pour toucher 2 500 entreprises

Le contexte

MOVEit Transfer est un logiciel de transfert de fichiers géré (Managed File Transfer) utilisé par des milliers d'entreprises et d'administrations pour échanger des données sensibles. En mai 2023, le groupe de ransomware Cl0p a exploité une vulnérabilité zero-day dans MOVEit pour lancer une campagne d'extraction de données massive.

La vulnérabilité : CVE-2023-34362

La faille est une injection SQL dans l'application web de MOVEit Transfer. L'endpoint vulnérable permettait à un attaquant non authentifié d'exécuter des requêtes SQL arbitraires sur la base de données du serveur.

La chaîne d'exploitation :

Chronologie de l'attaque

27 mai 2023 : les premières exploitations sont détectées. Cl0p avait probablement commencé à exploiter la faille avant cette date.

31 mai 2023 : Progress Software (éditeur de MOVEit) publie un correctif et une alerte de sécurité.

2 juin 2023 : Microsoft attribue l'exploitation au groupe Cl0p (aussi connu sous le nom de Lace Tempest).

7 juin 2023 : Cl0p revendique l'attaque sur son site de fuites et commence à publier les noms des victimes.

Juin à décembre 2023 : la liste des victimes ne cesse de s'allonger. Plus de 2 500 organisations sont touchées, affectant plus de 80 millions de personnes.

Victimes notables

L'attaque a touché des organisations dans tous les secteurs : le Département de l'Énergie américain, Shell, British Airways, la BBC, le gouvernement de la Nouvelle-Écosse, des universités, des cabinets d'avocats, des assureurs. En France, plusieurs entreprises utilisant MOVEit pour leurs transferts de données ont été affectées.

Pourquoi l'impact a été aussi massif

1. MOVEit est omniprésent : des milliers d'organisations l'utilisent pour échanger des fichiers sensibles (paie, données médicales, documents juridiques).

2. Les serveurs MOVEit sont exposés sur internet : c'est leur fonction. Un transfert de fichiers géré nécessite un accès réseau externe.

3. Cl0p a automatisé l'exploitation : le groupe a scanné internet pour identifier tous les serveurs MOVEit vulnérables et a lancé l'exploitation en masse avant que le correctif ne soit disponible.

4. Les données étaient déjà sur le serveur : MOVEit stocke les fichiers transférés. L'attaquant n'avait pas besoin de pivoter vers d'autres systèmes.

Leçons

Les logiciels de transfert de fichiers sont des cibles prioritaires. Ils contiennent des données sensibles et sont exposés sur internet. Ils doivent être audités et mis à jour en priorité.

L'injection SQL en 2023, c'est inacceptable. CVE-2023-34362 est une injection SQL classique. Les requêtes paramétrées auraient empêché l'exploitation.

Le patching rapide est vital. Les organisations qui ont appliqué le correctif dans les 48 heures ont limité l'impact. Celles qui ont attendu ont été compromises.

La détection de webshells doit être active. Le webshell human2.aspx était détectable par une analyse des fichiers sur le serveur.

Cet incident illustre pourquoi un audit de sécurité régulier de vos services exposés sur internet est indispensable. CleanIssue identifie ces surfaces d'attaque avant les attaquants.