CCleaner ciblé par la cyberattaque MOVEit Transfer.
Le 5 juillet 2023, le CERT-FR émettait un bulletin d’alerte CERTFR-2023-ALE-005 avec une synthèse sur l’exploitation d’une vulnérabilité dans MOVEit Transfer. L’objet de cette alerte était de faire le point sur l’exploitation de cette vulnérabilité par le groupe cybercriminel CL0P ainsi que de synthétiser les mesures de remédiation et de correction à appliquer par les utilisateurs du logiciel MOVEit Transfer.
Aujourd’hui, CCleaner avoue avoir subi une violation de données lors de cette cyberattaque MOVEit Transfer. La société vient d’avertir par mail les utilisateurs de son logiciel CCleaner qu’ils sont potentiellement victimes d’une violation de certaines de leurs données.
MOVEit Transfer zero-day exploité en masse dans des attaques de vol de données. Les pirates exploitent activement une vulnérabilité zero-day dans le logiciel de transfert de fichiers MOVEit Transfer, suivi comme CVE-2023-34362, pour voler des données aux organisations. MOVEit Transfer est une solution de transfert de fichiers géré (MFT) développée par Ipswitch, une filiale de Progress Software Corporation, basée aux États-Unis, qui permet à l’entreprise de transférer en toute sécurité des fichiers entre partenaires commerciaux et clients à l’aide de téléchargements basés sur SFTP, SCP et HTTP.
Une violation de données est le rejet intentionnel ou non sécurisé de l'information au sein d'un environnement non sécurisé. Les autres termes de ce phénomène peuvent être la divulgation de l'information, la fuite de données et également le déversement de données. Une violation de données est un incident de sécurité transmettant des données sensibles, protégées ou confidentielles, qui sont volées ou utilisées par une personne non autorisée à le faire. Le phishing et le scraping sont largement utilisés pour voler des informations à l'insu de l'internaute et de l'entreprise.
Dans le domaine de la sécurité informatique, une vulnérabilité Zero-Day (en français : Jour zéro) est une vulnérabilité informatique n'ayant fait l'objet d'aucune publication ou n'ayant aucun correctif connu. L'existence d'une telle faille sur un produit implique qu'aucune protection n'existe, qu'elle soit palliative ou définitive. La terminologie Zero Day ne qualifie pas la gravité de la faille : comme toute vulnérabilité, sa gravité dépend de l'importance des dégâts pouvant être occasionnés, et de l'existence d'un exploit, c'est-à-dire d'une technique exploitant cette faille afin de conduire des actions indésirables sur le produit concerné.
Les failles Zero-Day, souvent nommées "exploits" ne sont généralement pas utilisées dans les cyberattaques. L'objectif des attaquants est de tirer profit de ces vulnérabilités critiques en monnayant leur possible utilisation. Ce sont les grandes compagnies comme Microsoft ou Adobe ou encore les CES comme WordPress mais aussi les stockages des données dans le cloud qui sont la cible des cybermenaces de ces exploits. La découverte d'une faille critique est aussi rentable pour les hackers que l'exploitation d'un rançongiciel.
