ShareFile-sikkerhetstrussel: Progress oppfordrer kunder til å stenge ned serverne sine

En ShareFile-sikkerhetstrussel tvinger nå frem Progress-programvare Selskapet har sendt ut en haste-e-post til alle ShareFile-kunder som kjører såkalte Storage Zone Controllers, der de oppfordres til å umiddelbart stenge ned serverne sine. Bakgrunnen er det selskapet beskriver som en troverdig ekstern sikkerhetstrussel rettet mot filhåndteringsplattformens lokalt installerte komponenter.

ShareFile er Progress' plattform for sikker fildeling og samarbeid i bedriftsmiljøer. De fleste kunder lagrer filene sine i Progress' egen skyinfrastruktur, men organisasjoner med spesielle krav kan i stedet installere Storage Zone Controllers på sine egne Windows-servere. På denne måten kan filer forbli i sitt eget lagringsmiljø, mens ShareFiles skytjeneste håndterer autentisering, brukeradministrasjon og deling.

I denne typen hybridoppsett, Lagringssonekontroller som en bro mellom skyplattformen og selskapets egen lagring. Når en bruker laster opp eller ned en fil, rutes trafikken gjennom kundens egen server, som derfor vanligvis er eksponert for internett. Dette gjør komponenten til et attraktivt mål for angripere, og det er nettopp denne eksponeringen som nå står i sentrum for advarselen.

Kunder må manuelt slå av serverne

Advarsels-e-posten, som ble sendt ut torsdag kveld med overskriften “"Tjenesteavbrudd. Umiddelbar handling kreves"”, gikk til alle kunder som bruker den lokale komponenten. Ifølge Progress er det for øyeblikket ingen indikasjoner på at noen har fått uautorisert tilgang til kundedata eller ShareFile-kontoer, men som et forholdsregel har selskapet midlertidig blokkert tilgangen til alle kontoer som bruker Storage Zone Controllers.

Progress nøyer seg imidlertid ikke med å bare deaktivere tilgang fra skysiden. Kunder blir også bedt om å manuelt slå av Windows-serverne som kjører komponenten, noe som tyder på at en blokkering i skyplattformen ikke anses som tilstrekkelig for å avverge trusselen. Selskapet kaller det ekstra trinnet avgjørende for å beskytte kundedata.

Selskapet opplyser at det samarbeider med interne og eksterne cybersikkerhetseksperter for å undersøke dette. Sikkerhetstrusler fra ShareFile, og at kunder skal motta en ny statusoppdatering innen 24 timer. Statussiden for ShareFile oppgir at tjenesten for øyeblikket ikke er i drift for kunder med Storage Zone Controllers.

Ekko av Moveit-angrepet

Progress har ikke bekreftet om trusselen er en nulldagssårbarhet eller om noen servere allerede har blitt kompromittert, men situasjonen minner sterkt om tidligere bølger av angrep på filoverføringsløsninger for bedrifter.

I 2023 utnyttet Clop ransomware-gruppen en nulldagssårbarhet i Progress' eget produkt. Moveit Transfer å stjele data fra tusenvis av organisasjoner over hele verden, noe som ble etterfulgt av en massiv utpressingskampanje mot berørte selskaper og myndigheter. Angrepet ble et av årets mest omfattende datainnbrudd og fikk vidtrekkende konsekvenser for både Progress og selskapets kunder.

Siden den gang har internett-eksponerte plattformer for administrert filoverføring og fildeling blitt et tilbakevendende mål for angripere, nettopp fordi de ofte håndterer sensitive forretningsdata som kontrakter, økonomiske dokumenter og personlig informasjon. Det faktum at Progress velger å handle proaktivt denne gangen, før et brudd er bekreftet, kan tolkes som en lærdom fra Moveit-arrangementet der skaden allerede var skjedd da varslene gikk ut.

Slik bør svenske IT-avdelinger oppføre seg

For svenske IT-avdelinger, driftspartnere og forhandlere som administrerer ShareFile-miljøer for kunder, er budskapet klart. Det første trinnet er å umiddelbart bekrefte om Storage Zone Controllers brukes i miljøet i det hele tatt. Kunder som kun bruker Progress-skylagring påvirkes ikke av nedstengningen og kan fortsette å jobbe som vanlig.

Hvis komponenten brukes, bør de berørte Windows-serverne stenges ned manuelt, i samsvar med Progress-instruksjoner. Det er derfor ikke nok å stole på at selskapet allerede blokkerer tilgang sentralt. Benytt samtidig anledningen til å dokumentere hvilke systemer og integrasjoner som er berørt av nedetiden, slik at virksomheten kan planlegge for alternative arbeidsmåter i mellomtiden.

Det er også lurt å gjennomgå logger fra de aktuelle serverne for tegn på uvanlig aktivitet, samt forberede kommunikasjon til sluttbrukere som plutselig ikke har tilgang til filene sine. Til slutt, vær oppmerksom på Framgang Den neste oppdateringen, som ifølge selskapet vil komme innen 24 timer, vil inneholde informasjon om når tjenesten kan settes i drift igjen og om en oppdatering er nødvendig.