Pada tanggal 23 Mei 2023, Barracuda mengumumkan bahwa kerentanan zero-day (CVE-2023-2868) di Gerbang Keamanan Email Barracuda (ESG) telah dieksploitasi secara in-the-wild pada awal Oktober 2022 dan mereka melibatkan Mandiant untuk membantu dalam penyelidikan. Melalui penyelidikan, Mandiant mengidentifikasi tersangka aktor China-nexus, yang saat ini dilacak sebagai UNC4841, menargetkan subset peralatan ESG Barracuda untuk digunakan sebagai vektor spionase, yang mencakup banyak wilayah dan sektor. Mandiant menilai dengan keyakinan tinggi bahwa UNC4841 adalah aktor spionase di balik kampanye luas ini untuk mendukung Republik Rakyat Tiongkok.
UNC4841 mengirim email (lihat Gambar 2) ke organisasi korban yang berisi lampiran file berbahaya yang dirancang untuk mengeksploitasi CVE-2023-2868 untuk mendapatkan akses awal ke peralatan Barracuda ESG yang rentan. Selama kampanye mereka, UNC4841 terutama mengandalkan tiga kelompok kode utama untuk membangun dan mempertahankan keberadaan perangkat ESG, setelah keberhasilan eksploitasi CVE-2023-2868. Keluarga kode ini—SALTWATER, SEASPY, dan SEASIDE—diidentifikasi di sebagian besar intrusi UNC4841. Seperti yang dibahas dalam pemberitahuan Barracuda, ketiga keluarga kode berusaha untuk menyamar sebagai modul atau layanan ESG Barracuda yang sah, sebuah tren yang UNC4841 terus berlanjut dengan keluarga malware yang baru diidentifikasi yang dirinci untuk pertama kalinya dalam posting blog ini.
Pasca kompromi awal, Mandiant dan Barracuda mengamati UNC4841 secara agresif menargetkan data tertentu yang menarik untuk dieksfiltrasi, dan dalam beberapa kasus, memanfaatkan akses ke perangkat ESG untuk melakukan perpindahan lateral ke jaringan korban, atau mengirim email ke perangkat korban lainnya. Mandiant juga telah mengamati UNC4841 menerapkan alat tambahan untuk mempertahankan keberadaannya pada peralatan ESG.
Pada 19 Mei 2023, tindakan UNC4841 pertama kali ditemukan oleh tim Barracuda dan pada 21 Mei 2023, Barracuda mulai merilis tambalan penahanan dan remediasi dengan tujuan menghapus UNC4841 dari peralatan yang terkena dampak. Menanggapi upaya ini, UNC4841 dengan cepat mengubah malware mereka dan menggunakan mekanisme persistensi tambahan dalam upaya mempertahankan akses mereka.
Antara 22 Mei 2023 dan 24 Mei 2023, UNC4841 membalas dengan operasi frekuensi tinggi yang menargetkan sejumlah korban yang berlokasi di setidaknya 16 negara berbeda. Secara keseluruhan, Mandiant mengidentifikasi bahwa kampanye ini berdampak pada organisasi di seluruh sektor publik dan swasta di seluruh dunia, dengan hampir sepertiganya adalah lembaga pemerintah (lihat Gambar 5).
Pada 6 Juni 2023, Barracuda mengulangi pedoman yang merekomendasikan agar semua pelanggan Barracuda yang terkena dampak segera mengisolasi dan mengganti peralatan yang rusak. Selain itu, Mandiant merekomendasikan penyelidikan dan perburuan lebih lanjut dalam jaringan yang terkena dampak, karena pelaku ancaman yang teridentifikasi telah menunjukkan komitmen untuk mempertahankan kegigihan untuk melanjutkan operasi dan telah menunjukkan kemampuan untuk bergerak secara lateral dari alat ESG.
Bagian berikut memberikan detail teknis yang diungkap oleh Barracuda dan Mandiant selama investigasi untuk menyertakan eksploitasi awal alat ESG, malware yang disebarkan, serta perubahan taktik, teknik, dan prosedur (TTP) UNC4841 sebagai tanggapan terhadap Barracuda. upaya perbaikan. Posting diakhiri dengan penilaian awal Mandiant tentang atribusi, dan memberikan rekomendasi penguatan, perbaikan, dan perburuan untuk organisasi yang terkena dampak.
Mandiant memuji Barracuda atas tindakan tegas, transparansi, dan berbagi informasi setelah eksploitasi CVE-2023-2868 oleh UNC4841. Tanggapan terhadap eksploitasi kerentanan ini oleh UNC4841 dan investigasi selanjutnya memerlukan kolaborasi antara Mandiant, Barracuda, dan berbagai mitra pemerintah dan intelijen. Mandiant diaktifkan oleh keahlian para insinyur Barracuda yang memberikan pengetahuan khusus produk yang tak ternilai serta data telemetri dari armada lengkap peralatan ESG. Data yang disediakan oleh Barracuda memungkinkan Mandiant untuk memahami ruang lingkup penuh, menyelidiki dalam skala besar, serta memantau aktivitas penyerang berikutnya.
CVE-2023-2868
CVE-2023-2868 adalah kerentanan injeksi perintah jarak jauh yang ada di Gerbang Keamanan Email Barracuda (hanya faktor bentuk alat) versi 5.1.3.001-9.2.0.006 yang ada saat menyaring lampiran email.
Kerentanan injeksi perintah ada dalam logika penguraian untuk pemrosesan file TAR. Kode berikut di dalam produk adalah titik fokus dari kerentanan:
qx{$tarexec -O -xf $tempdir/bagian/$bagian ‘$f’};
Secara efektif berarti input yang dikendalikan pengguna yang tidak dibersihkan dan tidak difilter melalui variabel $f yang dieksekusi sebagai perintah sistem melalui rutin qx{} Perl. $f adalah variabel yang dikendalikan pengguna yang akan berisi nama file dari file yang diarsipkan dalam TAR. Akibatnya, UNC4841 dapat memformat file TAR dengan cara tertentu untuk memicu serangan injeksi perintah yang memungkinkan mereka menjalankan perintah sistem dari jarak jauh dengan hak istimewa produk Gerbang Keamanan Email.
selengkapnya : mandiant.com
