Citrix Systems Inc. , een gerenommeerde leverancier van software voor externe toegang, is onlangs getroffen door een kritieke kwetsbaarheid die bekend staat als Citrix Bleed. Volgens cybersecurityonderzoekers en online berichten van Citrix werd de fout ontdekt nadat deze wekenlang werd uitgebuit door door de overheid gesteunde hackers en criminele groepen. Hoewel er vorige maand een oplossing werd uitgebracht, zijn hackers de bug blijven misbruiken, waarbij ze zich specifiek richten op klanten die de patch nog niet hebben toegepast.
Eric Goldstein, Executive Assistant Director for Cybersecurity bij de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), onthulde dat meerdere kwaadwillende actoren, waaronder nationale groepen en criminele organisaties, actief misbruik maken van de Citrix Goldstein benadrukte ook dat de fout mogelijk zou kunnen leiden tot de diefstal van gevoelige informatie en bredere netwerktoegang.
LockBit, een van de meest beruchte hackbendes ter wereld, is geïdentificeerd als een van de criminele groepen die misbruik maken van de Citrix Bleed-bug. Het Financial Services Information Sharing and Analysis Center (FS-ISAC), een wereldwijd bankbeveiligingsconsortium, heeft een beveiligingsbulletin uitgegeven waarin financiële instellingen worden gewaarschuwd voor het risico dat aan dit beveiligingslek is verbonden. Bovendien onderzoekt het Amerikaanse ministerie van Financiën naar verluidt of Citrix-kwetsbaarheden verantwoordelijk waren voor de recente ransomware-aanval op de Industrial & Commercial Bank of China (ICBC).
Citrix ontdekte de Citrix Bleed-bug voor het eerst op 10 oktober en bracht prompt een patch uit. Later werd echter ontdekt dat talloze Citrix-klanten waren gehackt voordat de patch werd uitgegeven. Cybersecurity-onderzoekers hebben bewijs gevonden van aanvallen die dateren van eind augustus, waardoor de bezorgdheid ontstond dat deze inbraken mogelijk door een natiestaat zijn uitgevoerd voor spionagedoeleinden.
Ondanks de urgentie van patching en andere aanbevolen acties zijn duizenden bedrijven er niet in geslaagd hun Citrix-software onmiddellijk te updaten. De Unit 42-teams van Palo Alto Network ontdekten dat er minstens 6.000 kwetsbare IP-adressen zijn geïdentificeerd, waarbij de hoogste concentratie apparaten zich in de VS, Duitsland, China en het Verenigd Koninkrijk bevindt.
LockBit, bekend om zijn bendenaam en de producent van ransomware, heeft actief misbruik gemaakt van de Citrix-fout. Beveiligingsonderzoeker Kevin Beaumont onthulde dat de uitbuiting van LockBit zich uitstrekt tot meerdere slachtoffers, waaronder het advocatenkantoor Allen & Overy, luchtvaartgigant Boeing Co. , en havenexploitant DP World Plc. Als reactie op deze incidenten heeft Citrix zijn richtlijnen bijgewerkt, waarbij niet alleen patches worden aanbevolen, maar ook alle actieve en persistente sessies worden beëindigd.
De cyberbeveiligingsgemeenschap waarschuwt dat de Citrix Bleed-fout wordt beschouwd als "ongelooflijk eenvoudig te misbruiken", wat de groeiende bedreigingen in het cyberlandschap verder benadrukt. Allen & Overy bevestigde een inbreuk op enkele opslagservers, maar verklaarde dat de kernsystemen onaangetast bleven. Boeing en DP World hebben niet bevestigd of in hun gevallen misbruik is gemaakt van de Citrix-kwetsbaarheid.
Nu de Citrix Bleed-kwetsbaarheid nog steeds wordt uitgebuit, leidt dit tot zorgen over de algehele veiligheid van software voor externe toegang en de toenemende verfijning van hackers die deze fouten willen misbruiken. Er is dringend actie nodig om getroffen systemen te patchen en de nodige beveiligingsmaatregelen te implementeren om de risico's te beperken.