Citrix Systems Inc. , un renombrado proveedor de software de acceso remoto, se vio afectado recientemente por una vulnerabilidad crítica conocida como Citrix Bleed. Según investigadores de ciberseguridad y publicaciones en línea de Citrix, la falla fue descubierta después de haber sido explotada durante semanas por piratas informáticos y grupos criminales respaldados por el gobierno. Aunque el mes pasado se publicó una solución, los piratas informáticos continuaron explotando el error, dirigiéndose específicamente a los clientes que aún no han aplicado el parche.
Eric Goldstein, subdirector ejecutivo de ciberseguridad de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), reveló que múltiples actores maliciosos, incluidos grupos de estados-nación y organizaciones criminales, se están aprovechando activamente de Citrix. Goldstein también enfatizó que la falla podría conducir potencialmente al robo de información confidencial y a un acceso más amplio a la red.
LockBit, una de las bandas de hackers más notorias a nivel mundial, ha sido identificada como uno de los grupos criminales que explotan el error Citrix Bleed. El Centro de Análisis e Intercambio de Información de Servicios Financieros (FS-ISAC), un consorcio global de seguridad bancaria, emitió un boletín de seguridad advirtiendo a las instituciones financieras sobre el riesgo asociado con esta vulnerabilidad. Además, el Tesoro de EE. UU. está investigando si las vulnerabilidades de Citrix fueron responsables del reciente ataque de ransomware al Banco Industrial y Comercial de China (ICBC).
Citrix descubrió por primera vez el error Citrix Bleed el 10 de octubre y lanzó rápidamente un parche. Sin embargo, más tarde se descubrió que numerosos clientes de Citrix habían sido atacados antes de que se publicara el parche. Los investigadores de ciberseguridad encontraron evidencia de ataques que se remontan a finales de agosto, lo que genera preocupación de que estas intrusiones puedan haber sido realizadas por un Estado-nación con fines de espionaje.
A pesar de la urgencia de aplicar parches y otras acciones recomendadas, miles de empresas no actualizaron su software Citrix con prontitud. Los equipos de la Unidad 42 de Palo Alto Network descubrieron que se identificaron al menos 6.000 direcciones IP vulnerables, con la mayor concentración de dispositivos ubicados en EE. UU., Alemania, China y el Reino Unido.
LockBit, conocido tanto por su nombre de pandilla como por producir ransomware, ha estado explotando activamente la falla de Citrix. El investigador de seguridad Kevin Beaumont reveló que la explotación de LockBit se extiende a múltiples víctimas, incluida la firma de abogados Allen & Overy, el gigante de la aviación Boeing Co. y el operador portuario DP World Plc. En respuesta a estos incidentes, Citrix actualizó sus directrices y recomendó no sólo parchear sino también finalizar todas las sesiones activas y persistentes.
La comunidad de ciberseguridad advierte que la falla de Citrix Bleed se considera "increíblemente fácil de explotar", lo que resalta aún más las crecientes amenazas en el panorama cibernético. Allen & Overy confirmó una violación de algunos servidores de almacenamiento, pero afirmó que los sistemas centrales no se vieron afectados. Boeing y DP World no han confirmado si la vulnerabilidad de Citrix fue aprovechada en sus casos.
A medida que la vulnerabilidad Citrix Bleed continúa siendo explotada, genera preocupación sobre la seguridad general del software de acceso remoto y la creciente sofisticación de los piratas informáticos que buscan explotar estas fallas. Se requieren medidas urgentes para parchear los sistemas afectados e implementar las medidas de seguridad necesarias para mitigar los riesgos.