Citrix Systems Inc. , ein renommierter Anbieter von Fernzugriffssoftware, wurde kürzlich von einer kritischen Sicherheitslücke namens Citrix Bleed heimgesucht. Laut Cybersicherheitsforschern und Online-Beiträgen von Citrix wurde der Fehler entdeckt, nachdem er wochenlang von staatlich unterstützten Hackern und kriminellen Gruppen ausgenutzt wurde. Obwohl letzten Monat ein Fix veröffentlicht wurde, haben Hacker den Fehler weiterhin ausgenutzt und gezielt Kunden ins Visier genommen, die den Patch noch nicht installiert haben.
Eric Goldstein, Executive Assistant Director für Cybersicherheit bei der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA), enthüllte, dass mehrere böswillige Akteure, darunter nationalstaatliche Gruppen und kriminelle Organisationen, Citrix aktiv ausnutzen Goldstein betonte außerdem, dass der Fehler möglicherweise zum Diebstahl vertraulicher Informationen und zu einem umfassenderen Netzwerkzugriff führen könnte.
LockBit, eine der berüchtigtsten Hackerbanden weltweit, wurde als eine der kriminellen Gruppen identifiziert, die den Citrix Bleed-Bug ausnutzen. Das Financial Services Information Sharing and Analysis Center (FS-ISAC), ein globales Bankensicherheitskonsortium, hat ein Sicherheitsbulletin herausgegeben, in dem Finanzinstitute vor dem mit dieser Sicherheitslücke verbundenen Risiko gewarnt werden. Darüber hinaus untersucht das US-Finanzministerium Berichten zufolge, ob Citrix-Schwachstellen für den jüngsten Ransomware-Angriff auf die Industrial & Commercial Bank of China (ICBC) verantwortlich waren.
Citrix entdeckte den Citrix Bleed-Fehler erstmals am 10. Oktober und veröffentlichte umgehend einen Patch. Später stellte sich jedoch heraus, dass zahlreiche Citrix-Kunden bereits vor der Veröffentlichung des Patches angegriffen worden waren. Cybersicherheitsforscher fanden Beweise für Angriffe, die bis Ende August zurückreichten, was Anlass zur Sorge gab, dass diese Eingriffe möglicherweise von einem Nationalstaat zu Spionagezwecken durchgeführt wurden.
Trotz der Dringlichkeit von Patches und anderen empfohlenen Maßnahmen haben Tausende von Unternehmen ihre Citrix-Software nicht zeitnah aktualisiert. Die Unit 42-Teams von Palo Alto Network stellten fest, dass mindestens 6.000 gefährdete IP-Adressen identifiziert wurden, wobei sich die höchste Konzentration an Geräten in den USA, Deutschland, China und Großbritannien befand.
LockBit, bekannt sowohl für seinen Bandennamen als auch für die Produktion von Ransomware, hat die Citrix-Schwachstelle aktiv ausgenutzt. Der Sicherheitsforscher Kevin Beaumont enthüllte, dass sich die Ausbeutung von LockBit auf mehrere Opfer erstreckt, darunter die Anwaltskanzlei Allen & Overy, den Luftfahrtgiganten Boeing Co. , und Hafenbetreiber DP World Plc. Als Reaktion auf diese Vorfälle aktualisierte Citrix seine Leitlinien und empfahl nicht nur das Patchen, sondern auch die Beendigung aller aktiven und dauerhaften Sitzungen.
Die Cybersicherheits-Community warnt davor, dass der Citrix Bleed-Fehler als „unglaublich leicht auszunutzen“ gilt, was die wachsenden Bedrohungen in der Cyberlandschaft noch weiter verdeutlicht. Allen & Overy bestätigte einen Verstoß gegen einige Speicherserver, gab jedoch an, dass Kernsysteme davon nicht betroffen seien. Boeing und DP World haben nicht bestätigt, ob die Citrix-Sicherheitslücke in ihren Fällen ausgenutzt wurde.
Da die Schwachstelle Citrix Bleed weiterhin ausgenutzt wird, gibt dies Anlass zur Sorge hinsichtlich der allgemeinen Sicherheit von Fernzugriffssoftware und der zunehmenden Raffinesse von Hackern, die diese Schwachstellen ausnutzen wollen. Es besteht dringender Handlungsbedarf, um die betroffenen Systeme zu patchen und die erforderlichen Sicherheitsmaßnahmen zur Risikominimierung umzusetzen.