Ott 13, 2023 Marina Londei Apt, Intrusione, Minacce, News, RSS, Vulnerabilità 0

I ricercatori di Microsoft Threat Intelligence hanno rilevato lo sfruttamento di una vulnerabilità critica di Atlassian Confluence Center and Confluence Server da parte di Storm-0062. Il team di sicurezza lo ha annunciato con una serie di post su X spiegando che il gruppo ha cominciato a sfruttare il bug da metà settembre.

La vulnerabilità (CVE-2023-25515) è considerata di livello critico e consente a un attaccante di creare account amministrativi per accedere alle istanze Confluence e sottrarre informazioni sensibili. Atlassian ha confermato che alcuni dei suoi clienti sono stati colpiti dal gruppo, ma non ha specificato la portata effettiva degli attacchi.

Il bug colpisce le versioni 8.0.0, 8.1.0, 8.2.0, 8.3.0, 8.4.0, 8.5.0, 8.0.1, 8.0.2, 8.0.3, 8.0.4, 8.1.1, 8.1.3, 8.2.1, 8.1.4, 8.2.2, 8.2.3, 8.3.1, 8.3.2, 8.4.1, 8.4.2, 8.5.1 delle istanze. Tutte le versioni precedenti alla 8.0.0 non sono vulnerabili. 

Pixabay

Storm-0062

Dietro agli attacchi ai clienti Atlassian c’è Storm-0062, un gruppo APT cinese che agisce negli interessi del governo. Il gruppo è conosciuto anche come DarkShadow e Oro0lxy. Più che di “gruppo” è in realtà corretto parlare di “duo”, visto che Storm-0062 è composto solo da due persone, tali Li Xiaoyu e Dong Jiazhi.

I due sono in attività da molti anni, almeno dal 2009 secondo quanto riportato da DarkReading. Il duo era stato indagato dal Dipartimento di Giustizia statunitense nel 2020 per aver cercato vulnerabilità nelle reti di compagnie che sviluppavano vaccini per il COVID-19 e studiavano nuovi trattamenti per il virus.

Atlassian ha già rilasciato la patch di sicurezza per la vulnerabilità e ha invitato gli utenti a installarla il prima possibile. Le versioni non vulnerabili sono la 8.3.3 e successive, la 8.4.3 e successive e la 8.5.2 e successive. Nel caso non fosse possibile aggiornare immediatamente le istanze, è consigliabile isolarle dalle reti pubbliche finché non verrà applicato il fix.