image

Criminelen verspreiden ransomware via Citrix-kwetsbaarheid

vrijdag 24 januari 2020, 17:18 door Redactie, 9 reacties

Criminelen maken gebruik van het ernstige beveiligingslek in Citrix om organisaties met ransomware te infecteren. De Duitse auto-onderdelenfabrikant Gedia zou op deze manier met de Sodinokibi-ransomware besmet zijn geraakt. Dit is dezelfde ransomware die eerder GWK Travelex infecteerde.

Dat melden verschillende beveiligingsonderzoekers op Twitter. Aanvallers zouden eerst het Citrix-systeem overnemen en daarvandaan de achtergelegen computers in het netwerk van de organisatie infecteren. Citrix wordt onder andere gebruikt voor thuiswerken. Zo kunnen medewerkers vanuit huis toegang tot het intranet van een organisatie krijgen.

Al bij het bekend worden van de kwetsbaarheid werd gewaarschuwd dat die voor de verspreiding van ransomware was te gebruiken. Dergelijke aanvallen waren echter tot nu toe niet waargenomen. Volgens een onderzoeker met het alias Under the Breach hebben de aanvallers achter de Sodinokibi-ransomware, die ook bekendstaat als REvil, niet alleen Gedia via het Citrix-lek geïnfecteerd, maar ook andere organisaties.

Vanwege de infectie besloot de Duitse auto-onderdelenfabrikant het volledige netwerk uit te schakelen. "Het zal nog weken tot maanden duren voordat alle processen volledig zijn hersteld", zo liet Gedia in een verklaring weten. Volgens de Nederlandse beveiligingsonderzoeker Victor Gevers zijn erop internet nog 11.000 kwetsbare Citrix-systemen te vinden.

Citrix heeft inmiddels beveiligingsupdates voor de kwetsbaarheid beschikbaar gemaakt. Vanavond verschijnt de laatste patch, bedoeld voor de oudste versie van de Citrix-software. Daarnaast biedt het softwarebedrijf een gratis scantool aan waarmee organisaties kunnen controleren of hun Citrix-systemen zijn gecompromitteerd.

Image

Reacties (9)
24-01-2020, 17:48 door Anoniem
Iedere manager die het advies van ICT afdeling de Citrix Gateway direct uit te zetten heeft genegeerd zou op staande voet onslagen moeten worden.
24-01-2020, 21:14 door Anoniem
En die zijn er blijkbaar. Als het NCSC hier een melding van 9,8 op de schaal van 10 geeft dan is het alle hens aan dek. Bij sommige organisaties bepalen de managers nog steeds de dagelijkse gang. Zeker in Duitsland. Daar is het nog steeds streng hierarchisch geregeld en dulden de managers / directie geen / weinig tegenspraak. Gelukkig wordt het wel wat beter, maar ja, ze zijn er nog steeds. En dan krijg je dit helaas.
24-01-2020, 23:01 door Anoniem
Door Anoniem: Iedere manager die het advies van ICT afdeling de Citrix Gateway direct uit te zetten heeft genegeerd zou op staande voet onslagen moeten worden.

En jij hebt de boot gemist. Het uitzetten was totaal paniek voetbal en niet nodig. Jou comment is echt gebaseerd op onwetendheid.
24-01-2020, 23:16 door Anoniem
Door Anoniem: Iedere manager die het advies van ICT afdeling de Citrix Gateway direct uit te zetten heeft genegeerd zou op staande voet onslagen moeten worden.
Iedere ICT afdeling die in december niet gepatched heeft, zou ontslagen moeten worden.
24-01-2020, 23:20 door [Account Verwijderd]
Goh, dat had ik nou nooit mogelijk verwacht...
25-01-2020, 00:21 door Anoniem
Door Anoniem: Iedere manager die het advies van ICT afdeling de Citrix Gateway direct uit te zetten heeft genegeerd zou op staande voet onslagen moeten worden.
Kun je me vertellen waar het advies gegeven wordt om de Citrix Gateway uit te zetten? Want dat advies is nooit gegeven.

Het NCSC heeft aan de rijksoverheid het advies gegeven om de Citrix uit te zetten, tenzij aan enkele voorwaarden voldaan wordt, en aan andere organisaties het advies om de impact ervan te overwegen. Dat is een stevige set mitsen en maren. Wat je zegt is dus veel te kort door de bocht.
25-01-2020, 10:16 door Anoniem
Door Anoniem:
Door Anoniem: Iedere manager die het advies van ICT afdeling de Citrix Gateway direct uit te zetten heeft genegeerd zou op staande voet onslagen moeten worden.
Iedere ICT afdeling die in december niet gepatched heeft, zou ontslagen moeten worden.
Het probleem is dat er in december niet bij gezegd werd dat de patch niet op alle versies werkte. Dus er waren organisaties
die dachten dat ze goed bezig waren maar toch bleek hun gateway later vulnerable te zijn.
Dat is natuurlijk een enorme fout van Citrix, een patch verspreiden zonder erbij te vertellen wat de installatievoorwaarden
zijn. Ze hadden gewoon erbij moeten zeggen dat je voor je patched eerst je systeem moest updaten naar een versie
uit een erbij genoemd lijstje waarmee ze het getest en in orde bevonden hadden.
Omdat het totaal onduidelijk was welke fouten er nog meer gemaakt waren bij Citrix is het advies "afkoppelen" heel
begrijpelijk. Zoek eerst maar eens uit wat er veilig is en wat niet.
26-01-2020, 09:25 door Anoniem
Voor nood een andere VPN inzetten, had je in december al kunnen doen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.