FireEye: cyberspionage via lekken in Cisco, Citrix en Zoho

[Captain Kirk]

De afgelopen weken zijn tientallen organisaties aangevallen via kwetsbaarheden in producten van Citrix, Cisco en Zoho, zo stelt securitybedrijf FireEye. In alle gevallen waren er updates of oplossingen beschikbaar om aanvallen tegen te gaan, maar waren die niet door alle organisaties uitgerold.

De aanvallen waren gericht tegen onder andere banken, defensiebedrijven, universiteiten, advocatenkantoren, mediabedrijven, energiesector, farmaceutische bedrijven, telecombedrijven en verschillende andere sectoren over de hele wereld. Volgens FireEye is een groep genaamd APT41 voor de aanvallen verantwoordelijk. Deze groep zou vanuit China opereren en zich met cyberspionage en aanvallen voor persoonlijke financieel gewin bezighouden.

De nieuwste campagne van de groep begon op 20 en 21 januari en maakte misbruik van een ernstig beveiligingslek in de Citrix Netscaler/ADC-oplossingen. Citrix had toen al mitigatiemaatregelen beschikbaar gesteld om aanvallen te voorkomen. Op 20 januari verscheen daarnaast een eerste beveiligingsupdate voor bepaalde versies van de kwetsbare producten.

Op 21 februari van dit jaar zag FireEye een succesvolle aanval tegen een Cisco RV320-router van een niet nader genoemde telecomorganisatie. Welke exploit de aanvallers gebruikten is onbekend, maar vermoedelijk maakte die misbruik van twee kwetsbaarheden die op 4 april 2019 door Cisco werden gepatcht.

Daarnaast heeft FireEye ook aanvallen van APT41 gezien waarbij er een kwetsbaarheid in de Zoho ManageEngine Desktop Central werd gebruikt. Desktop Central is een oplossing om computers en mobiele apparaten mee te beheren. Het beveiligingslek was op 12 december aan ManageEngine gerapporteerd. Het bedrijf kwam op 20 januari met een tijdelijke oplossing.

Op 7 maart verscheen er een beveiligingsupdate. Een dag later zag FireEye dat APT41 de kwetsbaarheid bij tien klanten probeerde aan te vallen. Bij vijf organisaties was de aanval succesvol. Organisaties krijgen dan ook het advies om beschikbare patches te installeren en mitigatiemaatregelen door te voeren.

 

bron: security.nl