Citrix Systems Inc. , renomowany dostawca oprogramowania do zdalnego dostępu, została niedawno dotknięta krytyczną luką znaną jako Citrix Bleed. Według badaczy cyberbezpieczeństwa i postów internetowych Citrix luka została odkryta po tygodniach wykorzystywania przez hakerów i grupy przestępcze wspierane przez rząd. Chociaż poprawkę wydano w zeszłym miesiącu, hakerzy nadal wykorzystują błąd, celując w szczególności w klientów, którzy jeszcze nie zastosowali łatki.
Eric Goldstein, zastępca dyrektora wykonawczego ds. cyberbezpieczeństwa w amerykańskiej Agencji ds. Bezpieczeństwa Cyberbezpieczeństwa i Infrastruktury (CISA), ujawnił, że wielu złośliwych aktorów, w tym grupy państw narodowych i organizacje przestępcze, aktywnie wykorzystuje Citrix Goldstein podkreślił również, że luka może potencjalnie prowadzić do kradzieży wrażliwych informacji i szerszego dostępu do sieci.
LockBit, jeden z najbardziej znanych gangów hakerskich na świecie, został zidentyfikowany jako jedna z grup przestępczych wykorzystujących błąd Citrix Bleed. Centrum wymiany i analizy informacji o usługach finansowych (FS-ISAC), globalne konsorcjum zajmujące się bezpieczeństwem bankowym, wydało biuletyn bezpieczeństwa ostrzegający instytucje finansowe o ryzyku związanym z tą luką. Co więcej, według doniesień Departament Skarbu USA bada, czy luki w zabezpieczeniach Citrix były odpowiedzialne za niedawny atak oprogramowania ransomware na Industrial & Commercial Bank of China (ICBC).
Citrix po raz pierwszy odkrył błąd Citrix Bleed 10 października i natychmiast wypuścił łatkę. Jednak później odkryto, że wielu klientów Citrix zostało naruszonych przed wydaniem łatki. Badacze zajmujący się cyberbezpieczeństwem znaleźli dowody ataków datowanych na koniec sierpnia, budząc obawy, że włamania te mogły zostać przeprowadzone przez państwo narodowe w celach szpiegowskich.
Pomimo pilności wprowadzenia poprawek i innych zalecanych działań tysiące firm nie zaktualizowało na czas swojego oprogramowania Citrix. Zespoły Unit 42 z Palo Alto Network odkryły, że zidentyfikowano co najmniej 6000 podatnych na ataki adresów IP, przy czym największa koncentracja urządzeń znajdowała się w USA, Niemczech, Chinach i Wielkiej Brytanii.
LockBit, znany zarówno ze swojej nazwy gangu, jak i tworzenia oprogramowania ransomware, aktywnie wykorzystuje lukę Citrix. Badacz bezpieczeństwa Kevin Beaumont ujawnił, że LockBit wykorzystuje wiele ofiar, w tym kancelarię prawniczą Allen & Overy, giganta lotniczego Boeing Co. i operator portu DP World Plc. W odpowiedzi na te incydenty Citrix zaktualizował swoje wytyczne, zalecając nie tylko łatanie, ale także kończenie wszystkich aktywnych i trwałych sesji.
Społeczność zajmująca się cyberbezpieczeństwem ostrzega, że luka w Citrix Bleed jest uważana za „niezwykle łatwą do wykorzystania”, co jeszcze bardziej uwydatnia rosnące zagrożenia w cyberprzestrzeni. Firma Allen & Overy potwierdziła naruszenie kilku serwerów pamięci masowej, ale stwierdziła, że podstawowe systemy pozostały nienaruszone. Boeing i DP World nie potwierdziły, czy w ich przypadkach wykorzystano lukę Citrix.
W miarę ciągłego wykorzystywania luki w Citrix Bleed budzi to obawy co do ogólnego bezpieczeństwa oprogramowania do zdalnego dostępu i rosnącego wyrafinowania hakerów próbujących wykorzystać te luki. Konieczne jest pilne działanie w celu załatania dotkniętych systemów i wdrożenia niezbędnych środków bezpieczeństwa w celu ograniczenia ryzyka.