Microsoft: критическая ошибка GoAnywhere использовалась для атак программ-вымогателей

[admin]

Киберпреступная группировка, известная как Storm-1175, уже почти месяц активно эксплуатирует самую серьезную уязвимость GoAnywhere MFT для атак с использованием вируса-вымогателя Medusa.


отслеживаемая как CVE-2025-10035 Эта уязвимость, , затрагивает веб-инструмент Fortra для безопасной передачи данных GoAnywhere MFT и вызвана уязвимостью десериализации недоверенных данных в сервлете лицензии. Эта уязвимость может быть эксплуатирована удалённо в атаках низкой сложности, не требующих взаимодействия с пользователем.


Аналитики по безопасности из Shadowserver Foundation в настоящее время отслеживают более 500 случаев уязвимости GoAnywhere MFT, обнаруженных в сети, хотя пока неясно, сколько из них уже исправлено.

Хотя Fortra исправила уязвимость 18 сентября, не упомянув об активной эксплуатации, специалисты по безопасности из WatchTowr Labs неделю спустя отметили ее как эксплуатируемую в реальных условиях , получив «убедительные доказательства» того, что CVE-2025-10035 использовалась в качестве уязвимости нулевого дня с 10 сентября.

Использовался в атаках вируса-вымогателя Medusa​

Сегодня компания Microsoft подтвердила отчет WatchTowr Labs, заявив, что известный партнер вируса-вымогателя Medusa, отслеживаемый ею как Storm-1175, использовал эту уязвимость в атаках по крайней мере с 11 сентября 2025 года.

«Исследователи Microsoft Defender выявили в нескольких организациях деятельность по эксплуатации уязвимостей, соответствующую тактикам, методам и процедурам (TTP), характерным для Storm-1175», — заявили в Microsoft .


Для первоначального доступа злоумышленник воспользовался уязвимостью десериализации нулевого дня в GoAnywhere MFT. Для поддержания активности он использовал инструменты удалённого мониторинга и управления (RMM), в частности SimpleHelp и MeshAgent.


На следующем этапе атаки вредоносная программа-вымогатель запустила двоичные файлы RMM, использовала Netscan для сетевой разведки, выполнила команды для обнаружения пользователей и систем, а затем проникла через взломанную сеть в несколько систем, используя клиент Microsoft Remote Desktop Connection (mtsc.exe).


Во время атаки они также задействовали Rclone как минимум в одной среде жертвы для извлечения украденных файлов и использовали вредоносное ПО Medusa для шифрования файлов жертв.


В марте Агентство по безопасности и сотрудничеству в Европе (CISA) опубликовало совместное предупреждение с ФБР и Межгосударственным центром обмена и анализа информации (MS-ISAC), в котором предупредило, что операция по распространению вируса-вымогателя Medusa затронула более 300 организаций критической инфраструктуры по всей территории Соединенных Штатов.


В июле 2024 года компания Microsoft также связала группировку Storm-1175 с тремя другими киберпреступными группировками, с атаками, использующими уязвимость обхода аутентификации VMware ESXi, которая привела к развертыванию вирусов-вымогателей Akira и Black Basta.

Для защиты от атак вируса-вымогателя Medusa, нацеленных на серверы MFT GoAnywhere, Microsoft и Fortra рекомендовали администраторам обновиться до последних версий. Fortra также попросили клиентов проверить файлы журналов на наличие ошибок трассировки стека с помощью строки SignedObject.getObject, чтобы определить, были ли затронуты экземпляры.