MOVEit: Die Lücke im Dateitransfer, über die Cl0p Daten stahl

Ende Mai 2023 begann die kriminelle Gruppe Cl0p, Dateien aus MOVEit Transfer zu stehlen, einem Server, über den Organisationen große Dateien mit Partnern austauschen. Die Gruppe nutzte einen Zero-Day, also eine Lücke, von der der Hersteller noch nichts wusste, und stahl innerhalb weniger Tage Daten von Hunderten Servern. Bis Juni 2024 waren 2.773 Organisationen und die Daten von 95,8 Millionen Menschen als betroffen bekannt.

So funktionierte der Angriff

Die Lücke, CVE-2023-34362, ist eine SQL-Injection. MOVEit speichert seine Daten in einer Datenbank und spricht mit ihr in der Datenbanksprache SQL. Mit einer präparierten Folge von Webanfragen an zwei normale Teile der Anwendung konnte ein Angreifer ohne Anmeldung SQL-Befehle in diese Anfragen einschleusen. So konnte er die Datenbank lesen und ändern und sich die Sitzung eines Administrators verschaffen.

Die Angreifer installierten danach eine Webshell, ein kleines Programm, das Befehle über das Web entgegennimmt, unter dem harmlos klingenden Namen human2.aspx. Sicherheitsforscher nennen sie LEMURLOOT. Sie listete die gespeicherten Dateien auf, legte Konten an und lud Daten herunter, auch aus verknüpftem Cloud-Speicher bei Microsoft Azure. In manchen Fällen waren die Daten schon wenige Minuten nach der Installation der Webshell weg, wie das Sicherheitsunternehmen Mandiant feststellte.

Cl0p sperrte die Systeme nicht, wie es Ransomware-Banden oft tun. Die Gruppe stahl die Daten und erpresste die Opfer danach über ihre Leak-Seite, eine Website, auf der sie gestohlene Daten veröffentlicht. Am 6. Juni 2023 bekannte sich die Gruppe dort zu den Angriffen. Laut einem Pressebericht über eine Analyse des Sicherheitsunternehmens Kroll haben die Angreifer die Lücke womöglich schon im Juli 2021 getestet.

Reichweite und Schaden

Die Zahl der Server war klein. Das Sicherheitsunternehmen Rapid7 zählte am 31. Mai 2023 rund 2.500 MOVEit-Transfer-Server, die aus dem Internet erreichbar waren, die meisten davon in den USA. Der Schaden kam von dem, was auf ihnen lag: Dateien, die Organisationen mit ihren Partnern austauschten. Manche Opfer traf es nicht direkt, sondern über einen Dienstleister, der MOVEit nutzte.

Die Liste der Opfer wuchs mehr als ein Jahr lang weiter, weil Organisationen nach und nach Datenpannen meldeten. Das Sicherheitsunternehmen Emsisoft sammelte diese Meldungen.

Die Zahl der betroffenen Menschen stieg von rund 59,2 Millionen im August 2023 auf 95.788.491 in Emsisofts letzter Zählung vom 28. Juni 2024. Manche Menschen sind womöglich doppelt gezählt, zugleich war mit weiteren Meldungen zu rechnen. Der größte Einzelfall war Maximus, ein Auftragnehmer der US-Regierung, mit 11,3 Millionen Betroffenen, gefolgt von Welltok mit 10 Millionen und Delta Dental of California mit 6,9 Millionen. Von den bekannten Opfern hatten 78,9 % ihren Sitz in den USA.

Fix und Reaktion

Progress Software, der Hersteller von MOVEit, veröffentlichte am 31. Mai 2023, vier Tage nach den ersten Angriffen, eine Warnung und korrigierte Versionen. Noch am selben Tag patchte das Unternehmen seine Cloud-Version und forderte Kunden auf, mindestens die letzten 30 Tage auf Anzeichen unbefugter Zugriffe zu prüfen. Am 2. Juni nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihre Liste ausgenutzter Schwachstellen auf. Am 7. Juni veröffentlichten die CISA und das FBI eine gemeinsame Warnung zu Cl0p.

Es war nicht der erste Angriff der Gruppe auf Software für den Dateitransfer. Anfang 2023 hatte sie laut CISA über ein anderes Produkt, GoAnywhere MFT, innerhalb von zehn Tagen etwa 130 Opfer getroffen.

Code-Prüfungen nach dem ersten Fix fanden weitere SQL-Injection-Lücken in MOVEit Transfer. Progress behob sie am 9. Juni (CVE-2023-35036), am 15. Juni (CVE-2023-35708) und am 6. Juli 2023; an diesem Tag schloss ein Service Pack CVE-2023-36934 und zwei weitere Lücken.

Die Bewertungen sind überall gleich: Die US-amerikanische National Vulnerability Database und die CISA bewerten die Hauptlücke beide mit 9,8 von 10. Der CVE-Eintrag nennt keinen Entdecker: Die Lücke kam durch die Angriffe ans Licht, nicht durch die Meldung von Forschern.