חברת Kiteworks קוראת ללקוחות לכבות שרתים זמנית בעקבות איום מודיעיני

חברת Kiteworks, שמפעילה פלטפורמת שיתוף קבצים מאובטחת הנפוצה בגופי ממשל ומוסדות פיננסיים, פנתה ללקוחותיה בבקשה חריגה: לכבות את מערכות Kiteworks שלהם לחלון זמן של כמה שעות בסוף השבוע. הסיבה: מידע מודיעיני מרשויות אכיפת חוק בארה"ב על איום אפשרי נגד לקוחות החברה. Kiteworks מדגישה שאין בידיה עדות לפריצה בפועל, וזהו צעד מנע בלבד.

מה קרה

לפי החברה, גורמי אכיפת חוק פדרליים העבירו מודיעין אמין לפיו שחקן זדוני עשוי לנסות לתקוף חלק ממערכות הלקוחות. בתגובה שלחה Kiteworks הודעת דוא"ל לכלל לקוחותיה בבקשה לכבות את המערכת לחלון של כמה שעות בשבת, 26 בספטמבר — לרוב סביב תשע שעות, בהתאם לאזור הזמן של כל לקוח — גם עבור שרתים שאינם חשופים ישירות לאינטרנט. מנהל אבטחת המידע הראשי של החברה, פרנק בלוניס, מסר כי מדובר ב"צעד זהירות מוגברת" בעודם פועלים יחד עם שותפי אכיפת החוק לבירור העניין. החברה לא פרסמה מזהה CVE ולא ציינה איזו סוכנות מסרה את ההתרעה, אך הבהירה שכל הפגיעויות הידועות מטופלות בגרסה 9.5.1, ושחברות הבת שלה (בהן ownCloud ו-DRACOON) אינן נכללות באזהרה. יש לציין ש-Kiteworks, שפעלה בעבר תחת השם Accellion, הייתה קורבן ידוע לניצול פגיעויות יום-אפס בקמפיין הסחיטה הגדול של קבוצת Clop ב-2020–2021.

נקודות לשים לב

אם אתם משתמשים ב-Kiteworks, בדקו שקיבלתם את הודעת הדוא"ל הרשמית מהחברה עם חלון הכיבוי המדויק לאזור הזמן שלכם, ופעלו לפיה גם אם השרת אינו פתוח לאינטרנט.
ודאו שאתם מריצים גרסה 9.5.1 ומעלה — לפי החברה זו הגרסה שכוללת את כל התיקונים הידועים נכון לעכשיו.
אין כרגע CVE או פרט טכני על אופי האיום, ולכן אי אפשר להצביע על סימני היכר קונקרטיים (IoC); זהו צעד מניעתי המבוסס על מודיעין, לא תגובה לפריצה מאומתת.
אם הארגון שלכם מסתמך על Kiteworks להעברת מסמכים רגישים, זה הזמן לוודא שיש תהליך גיבוי או ערוץ חלופי למקרה של כיבוי דומה בעתיד.
ההיסטוריה של המוצר (ניצול Accellion FTA על ידי Clop) הופכת אזהרה כזו לרלוונטית במיוחד — פלטפורמות העברת קבצים מאובטחות הן יעד חוזר לקבוצות סחיטה שמחפשות דלף מידע בהיקף גדול.