{"data":{"case":{"actions":{"de":["Aktualisiere MOVEit Transfer auf eine aktuelle, unterstützte Version; alle Versionen vor den Fixes von Mai bis Juli 2023 haben bekannte kritische Lücken.","Lief auf dem Server 2023 eine ältere Version, prüfe ihn auf Spuren eines Angriffs: eine Datei namens **human2.aspx**, Benutzerkonten, die du nicht angelegt hast, und große Downloads.","Frag deine Dienstleister, ob sie MOVEit Transfer nutzen: Manche Opfer wurden über den Server eines Dienstleisters getroffen."],"en":["Update MOVEit Transfer to a current, supported version; all releases before the fixes of May to July 2023 contain known critical flaws.","If the server ran an older version in 2023, check it for signs of attack: a file named **human2.aspx**, user accounts you did not create, and large downloads.","Ask your service providers whether they use MOVEit Transfer: some victims were hit through a provider's server."]},"criteria":{"damage":{"de":"Meldungen von Datenpannen betreffen die Daten von 95.788.491 Menschen; manche sind womöglich doppelt gezählt (Emsisoft, 28. Juni 2024).","en":"Breach notices cover the data of 95,788,491 people; some may be counted twice (Emsisoft, June 28, 2024).","met":true},"exploitation":{"de":"Die Angriffe trafen 2.773 Organisationen, direkt oder über einen Dienstleister, der MOVEit nutzte (Emsisoft, 28. Juni 2024).","en":"The attacks hit 2,773 organizations, directly or through a service provider that used MOVEit (Emsisoft, June 28, 2024).","met":true},"reach":{"de":"Rund 2.500 MOVEit-Transfer-Server waren aus dem Internet erreichbar, weit unter 100.000 (Rapid7, 31. Mai 2023).","en":"Roughly 2,500 MOVEit Transfer servers were reachable from the internet, far below 100,000 (Rapid7, May 31, 2023).","met":false},"response":{"de":"Eine gemeinsame Warnung von CISA und FBI und ein Eintrag in der CISA-Liste ausgenutzter Schwachstellen, aber weder eine Notfallanweisung noch die höchste nationale Warnstufe sind dokumentiert (CISA, Juni 2023).","en":"A joint warning from CISA and the FBI and an entry on CISA's list of exploited vulnerabilities, but no emergency directive or highest national warning level is documented (CISA, June 2023).","met":false}},"cves":["CVE-2023-34362","CVE-2023-35036","CVE-2023-35708"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-89","dates":[{"date":"2023-05-27","key":"exploited"},{"date":"2023-05-31","de":"Progress warnt seine Kunden und veröffentlicht korrigierte Versionen","en":"Progress warns its customers and releases fixed versions"},{"date":"2023-06-06","de":"Cl0p bekennt sich auf seiner Leak-Seite zu den Angriffen","en":"Cl0p claims the attacks on its leak site"},{"date":"2023-06-07","de":"CISA und FBI veröffentlichen eine gemeinsame Warnung","en":"CISA and the FBI publish a joint warning"},{"date":"2023-06-09","de":"Fix für eine zweite Lücke, gefunden bei einer Code-Prüfung","en":"Fix for a second flaw, found in a code review"},{"date":"2023-07-06","de":"Ein Service Pack schließt drei weitere Lücken","en":"A service pack closes three more flaws"}],"de":{"credit":"Kein Entdecker genannt: Die Lücke kam durch die Angriffe ans Licht","fixed":"MOVEit Transfer 2021.0.6, 2021.1.4, 2022.0.4, 2022.1.5 und 2023.0.1 (31. Mai 2023); weitere Fixes im Juni und Juli 2023","product":"Progress MOVEit Transfer, ein Server für den Dateiaustausch mit Partnern","summary":"Die Bande Cl0p nutzte eine unbekannte Lücke im Dateiserver MOVEit Transfer, um Daten von 2.773 Organisationen zu stehlen."},"disclosed":"2023-05-31","en":{"credit":"No finder named: the flaw came to light through the attacks","fixed":"MOVEit Transfer 2021.0.6, 2021.1.4, 2022.0.4, 2022.1.5 and 2023.0.1 (May 31, 2023); more fixes in June and July 2023","product":"Progress MOVEit Transfer, a server for exchanging files with partners","summary":"The Cl0p gang used an unknown flaw in the MOVEit Transfer file server to steal data from 2,773 organizations."},"figures":[{"de":"Millionen Menschen, deren Daten betroffen waren, laut Meldungen von Datenpannen (Emsisoft)","en":"million people whose data was affected, according to breach notices (Emsisoft)","value":"95.8"},{"de":"Organisationen getroffen, direkt oder über einen Dienstleister (Emsisoft)","en":"organizations hit, directly or through a service provider (Emsisoft)","value":"2,773"},{"de":"Tage lang liefen Angriffe, bevor es einen Fix gab","en":"days of attacks before a fix was out","value":"4"},{"de":"MOVEit-Transfer-Server waren aus dem Internet erreichbar (ungefähr; Rapid7, 31. Mai 2023)","en":"MOVEit Transfer servers reachable from the internet (roughly; Rapid7, May 31, 2023)","value":"2,500"}],"kev":"2023-06-02","key":"moveit","name":"MOVEit Transfer","product":"Progress MOVEit Transfer","sources":[{"de":"CVE-Eintrag CVE-2023-34362, mit den betroffenen Versionen","title":"CVE record CVE-2023-34362, with the affected versions","url":"https://www.cve.org/CVERecord?id=CVE-2023-34362"},{"de":"NVD: CVE-2023-34362","title":"NVD: CVE-2023-34362","url":"https://nvd.nist.gov/vuln/detail/CVE-2023-34362"},{"de":"CISA und FBI: gemeinsame Warnung zu Cl0p und MOVEit (7. Juni 2023)","title":"CISA and FBI: joint advisory on Cl0p and MOVEit (June 7, 2023)","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a"},{"de":"Mandiant: Zero-Day in MOVEit Transfer für Datendiebstahl genutzt","title":"Mandiant: zero-day in MOVEit Transfer used for data theft","url":"https://cloud.google.com/blog/topics/threat-intelligence/zero-day-moveit-data-theft"},{"de":"Rapid7: Ausnutzung der Lücke in MOVEit Transfer, mit Nachträgen bis August 2023","title":"Rapid7: exploitation of the MOVEit Transfer flaw, updated to August 2023","url":"https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/"},{"de":"Emsisoft: Statistik zum MOVEit-Datenleck, letzter Stand 28. Juni 2024","title":"Emsisoft: MOVEit breach statistics, last count June 28, 2024","url":"https://emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/"},{"de":"SecurityWeek (Presse): Emsisofts Zählung vom 24. August 2023","title":"SecurityWeek (press): Emsisoft's count of August 24, 2023","url":"https://www.securityweek.com/nearly-1000-organizations-60-million-individuals-impacted-by-moveit-hack/"},{"de":"Help Net Security (Presse): mehr als 2.000 betroffene Organisationen, September 2023","title":"Help Net Security (press): more than 2,000 victim organizations, September 2023","url":"https://www.helpnetsecurity.com/2023/09/26/moveit-victim-number/"},{"de":"BleepingComputer (Presse): Krolls Hinweise auf Tests seit 2021","title":"BleepingComputer (press): Kroll's finding of tests since 2021","url":"https://www.bleepingcomputer.com/news/security/clop-ransomware-likely-testing-moveit-zero-day-since-2021/"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2023}},"description":"Über eine Lücke im Dateitransfer-Server MOVEit Transfer stahl Cl0p Daten von 2.773 Organisationen. Wie das ablief, wen es traf und was jetzt zu tun ist.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Ende Mai 2023 begann die kriminelle Gruppe Cl0p, Dateien aus MOVEit Transfer zu stehlen, einem Server, über den Organisationen große Dateien mit Partnern austauschen. Die Gruppe nutzte einen Zero-Day, also eine Lücke, von der der Hersteller noch nichts wusste, und stahl innerhalb weniger Tage Daten von Hunderten Servern. Bis Juni 2024 waren 2.773 Organisationen und die Daten von 95,8 Millionen Menschen als betroffen bekannt.\nSo funktionierte der Angriff Die Lücke, CVE-2023-34362, ist eine SQL-Injection. MOVEit speichert seine Daten in einer Datenbank und spricht mit ihr in der Datenbanksprache SQL. Mit einer präparierten Folge von Webanfragen an zwei normale Teile der Anwendung konnte ein Angreifer ohne Anmeldung SQL-Befehle in diese Anfragen einschleusen. So konnte er die Datenbank lesen und ändern und sich die Sitzung eines Administrators verschaffen.\nDie Angreifer installierten danach eine Webshell, ein kleines Programm, das Befehle über das Web entgegennimmt, unter dem harmlos klingenden Namen human2.aspx. Sicherheitsforscher nennen sie LEMURLOOT. Sie listete die gespeicherten Dateien auf, legte Konten an und lud Daten herunter, auch aus verknüpftem Cloud-Speicher bei Microsoft Azure. In manchen Fällen waren die Daten schon wenige Minuten nach der Installation der Webshell weg, wie das Sicherheitsunternehmen Mandiant feststellte.\nAngreifersendet präparierte Webanfragen, ohne Anmeldung SQL-InjectionDatenbankbefehle werden in die Anfragen geschmuggelt Admin-Sitzungder Angreifer erhält Administratorrechte Webshellals human2.aspx installiert DatendiebstahlDateien werden heruntergeladen, manchmal binnen Minuten Der Angriff in fünf Schritten, von der ersten Webanfrage bis zu den gestohlenen Dateien. Ein Passwort war an keiner Stelle nötig. Cl0p sperrte die Systeme nicht, wie es Ransomware-Banden oft tun. Die Gruppe stahl die Daten und erpresste die Opfer danach über ihre Leak-Seite, eine Website, auf der sie gestohlene Daten veröffentlicht. Am 6. Juni 2023 bekannte sich die Gruppe dort zu den Angriffen. Laut einem Pressebericht über eine Analyse des Sicherheitsunternehmens Kroll haben die Angreifer die Lücke womöglich schon im Juli 2021 getestet.\nReichweite und Schaden Die Zahl der Server war klein. Das Sicherheitsunternehmen Rapid7 zählte am 31. Mai 2023 rund 2.500 MOVEit-Transfer-Server, die aus dem Internet erreichbar waren, die meisten davon in den USA. Der Schaden kam von dem, was auf ihnen lag: Dateien, die Organisationen mit ihren Partnern austauschten. Manche Opfer traf es nicht direkt, sondern über einen Dienstleister, der MOVEit nutzte.\nDie Liste der Opfer wuchs mehr als ein Jahr lang weiter, weil Organisationen nach und nach Datenpannen meldeten. Das Sicherheitsunternehmen Emsisoft sammelte diese Meldungen.\nBekannte Opfer der MOVEit-Angriffe August 2023 988 September 2023 (mehr als) 2.000 Juni 2024 2.773 Organisationen, auch solche, die über einen Dienstleister getroffen wurden. Zählung von Emsisoft; die ersten beiden Werte berichteten SecurityWeek und Help Net Security.\nDie Zahl der betroffenen Menschen stieg von rund 59,2 Millionen im August 2023 auf 95.788.491 in Emsisofts letzter Zählung vom 28. Juni 2024. Manche Menschen sind womöglich doppelt gezählt, zugleich war mit weiteren Meldungen zu rechnen. Der größte Einzelfall war Maximus, ein Auftragnehmer der US-Regierung, mit 11,3 Millionen Betroffenen, gefolgt von Welltok mit 10 Millionen und Delta Dental of California mit 6,9 Millionen. Von den bekannten Opfern hatten 78,9 % ihren Sitz in den USA.\nOpfer nach Branche Bildung39,1 % Gesundheit20,1 % Finanzen und Dienstleistungen für Unternehmen13,3 % Anteil an den bekannten betroffenen Organisationen, Emsisoft, 28. Juni 2024.\nFix und Reaktion Progress Software, der Hersteller von MOVEit, veröffentlichte am 31. Mai 2023, vier Tage nach den ersten Angriffen, eine Warnung und korrigierte Versionen. Noch am selben Tag patchte das Unternehmen seine Cloud-Version und forderte Kunden auf, mindestens die letzten 30 Tage auf Anzeichen unbefugter Zugriffe zu prüfen. Am 2. Juni nahm die US-Cybersicherheitsbehörde CISA die Lücke in ihre Liste ausgenutzter Schwachstellen auf. Am 7. Juni veröffentlichten die CISA und das FBI eine gemeinsame Warnung zu Cl0p.\nEs war nicht der erste Angriff der Gruppe auf Software für den Dateitransfer. Anfang 2023 hatte sie laut CISA über ein anderes Produkt, GoAnywhere MFT, innerhalb von zehn Tagen etwa 130 Opfer getroffen.\nCode-Prüfungen nach dem ersten Fix fanden weitere SQL-Injection-Lücken in MOVEit Transfer. Progress behob sie am 9. Juni (CVE-2023-35036), am 15. Juni (CVE-2023-35708) und am 6. Juli 2023; an diesem Tag schloss ein Service Pack CVE-2023-36934 und zwei weitere Lücken.\nDie Bewertungen sind überall gleich: Die US-amerikanische National Vulnerability Database und die CISA bewerten die Hauptlücke beide mit 9,8 von 10. Der CVE-Eintrag nennt keinen Entdecker: Die Lücke kam durch die Angriffe ans Licht, nicht durch die Meldung von Forschern.","title":"MOVEit: Die Lücke im Dateitransfer, über die Cl0p Daten stahl","url":"https://crackthe.net/de/schwachstellen/moveit/"}