Citrix Systems Inc. , un rinomato fornitore di software di accesso remoto, è stato recentemente colpito da una vulnerabilità critica nota come Citrix Bleed. Secondo i ricercatori di sicurezza informatica e i post online di Citrix, la falla è stata scoperta dopo essere stata sfruttata per settimane da hacker e gruppi criminali sostenuti dal governo. Sebbene il mese scorso sia stata rilasciata una correzione, gli hacker hanno continuato a sfruttare il bug, prendendo di mira in particolare i clienti che non hanno ancora applicato la patch.
Eric Goldstein, vicedirettore esecutivo per la sicurezza informatica presso la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti, ha rivelato che diversi attori malintenzionati, inclusi gruppi di stati-nazione e organizzazioni criminali, stanno sfruttando attivamente il sistema Citrix Goldstein ha inoltre sottolineato che la falla potrebbe potenzialmente portare al furto di informazioni sensibili e ad un più ampio accesso alla rete.
LockBit, una delle bande di hacker più famose a livello globale, è stata identificata come uno dei gruppi criminali che sfruttano il bug Citrix Bleed. Il Financial Services Information Sharing and Analysis Center (FS-ISAC), un consorzio globale per la sicurezza bancaria, ha emesso un bollettino sulla sicurezza avvertendo gli istituti finanziari del rischio associato a questa vulnerabilità. Inoltre, secondo quanto riferito, il Tesoro degli Stati Uniti sta indagando se le vulnerabilità di Citrix siano state responsabili del recente attacco ransomware contro la Industrial & Commercial Bank of China (ICBC).
Citrix ha scoperto per la prima volta il bug Citrix Bleed il 10 ottobre e ha prontamente rilasciato una patch. Tuttavia, in seguito si è scoperto che numerosi clienti Citrix erano stati violati prima dell'emissione della patch. I ricercatori di sicurezza informatica hanno trovato prove di attacchi risalenti alla fine di agosto, sollevando preoccupazioni sul fatto che queste intrusioni possano essere state condotte da uno stato-nazione per scopi di spionaggio.
Nonostante l'urgenza delle patch e delle altre azioni consigliate, migliaia di aziende non sono riuscite ad aggiornare tempestivamente il proprio software Citrix. I team dell'Unità 42 di Palo Alto Network hanno scoperto che sono stati identificati almeno 6.000 indirizzi IP vulnerabili, con la più alta concentrazione di dispositivi situati negli Stati Uniti, in Germania, Cina e Regno Unito.
LockBit, noto sia per il nome della sua gang che per la produzione di ransomware, ha sfruttato attivamente la falla di Citrix. Il ricercatore di sicurezza Kevin Beaumont ha rivelato che lo sfruttamento di LockBit si estende a numerose vittime, tra cui lo studio legale Allen & Overy, il gigante dell'aviazione Boeing Co. e l'operatore portuale DP World Plc. In risposta a questi incidenti, Citrix ha aggiornato le sue linee guida, raccomandando non solo l’applicazione delle patch ma anche la chiusura di tutte le sessioni attive e persistenti.
La comunità della sicurezza informatica avverte che la falla Citrix Bleed è considerata "incredibilmente facile da sfruttare", il che evidenzia ulteriormente le crescenti minacce nel panorama informatico. Allen & Overy ha confermato una violazione di alcuni server di archiviazione, ma ha affermato che i sistemi principali sono rimasti inalterati. Boeing e DP World non hanno confermato se la vulnerabilità di Citrix sia stata sfruttata nei loro casi.
Poiché la vulnerabilità Citrix Bleed continua a essere sfruttata, solleva preoccupazioni sulla sicurezza complessiva del software di accesso remoto e sulla crescente sofisticatezza degli hacker che cercano di sfruttare queste falle. È necessaria un’azione urgente per applicare patch ai sistemi interessati e implementare le misure di sicurezza necessarie per mitigare i rischi.