Kiteworks предупреди клиентите си временно да изключат своите сървъри, след като получи надеждни разузнавателни данни за заплахи, че киберпрестъпник може да насочи атаки срещу някои от системите на Kiteworks.

Компанията заяви, че мярката е превантивна, подчерта, че няма доказателства за компрометиране, и по-късно отмени препоръката за изключване за всички клиенти.

Доставчикът на решения за сигурен обмен на данни, базиран в Сан Матео, Калифорния, издаде предупреждението на 25 септември, след като федералните разузнавателни власти споделиха информация за възможна предстояща кибератака.

Kiteworks поиска от организациите, работещи със самостоятелно управлявани внедрявания, да изключат системите си от мрежата по време на превантивния прозорец за изключване в техните местни часови зони. Предупреждението се отнасяше за системи на Kiteworks, внедрени на място (on-premises) и в управлявани от клиентите среди в AWS и Microsoft Azure.

От Kiteworks заявиха, че ще изключат и по-късно ще възстановят системите, които хостват за клиентите си, което означава, че хостваните клиенти не е необходимо да предприемат действия по време на планирания прозорец.

Kiteworks предупреждава клиентите си за zero-day атака

Франк Балонис, главен директор по информационна сигурност в Kiteworks, каза, че компанията е получила информация, показваща, че злонамерен субект може да се опита да атакува определени клиентски системи на Kiteworks.

Той каза, че организацията е уведомила клиентите си директно и е координирала действията си с федералните власти, докато е преглеждала заплахата. Kiteworks не разкри предполагаемия вектор на атака, автора на заплахата зад активността или източника на разузнавателна информация.

Въпреки това информация от Heise показва, че поддръжката на Kiteworks е описала действието като защитна стъпка срещу възможни zero-day атаки.

Уязвимостта от тип нулев ден е неизвестна досега уязвимост, за която даден доставчик може все още да няма корекция за сигурност или публично решение за смекчаване на риска. Компанията подчерта, че известието за спиране не е следствие от потвърден пробив.

Kiteworks съобщи, че няма индикации нейната собствена инфраструктура или средите на клиентите да са били компрометирани. Тя също така заяви, че е отстранила всички известни уязвимости в текущата си версия 9.5.1 и призова клиентите си да се уверят, че използват тази версия.

Инцидентът подчертава трудните решения, пред които са изправени доставчиците на софтуер и корпоративните защитници, когато данните за заплахи сочат към credible, но непотвърден риск.

В много случаи временното прекъсване на работата може да доведе до по-малко щети, отколкото да се даде време на атакуващите да експлоатират неизвестно слабо място в системи, които управляват прехвърляне на чувствителни данни, работни процеси за управляван обмен на файлове, имейл и корпоративно сътрудничество.

Предприятия и правителствени организации използват продуктите на Kiteworks за управление на обмена на чувствителни данни. Платформата е предназначена да контролира, проследява и защитава поверителна информация, движеща се между потребители, бизнес партньори, облачни услуги и вътрешни среди.

Тъй като такива системи могат да обработват големи обеми от конфиденциални файлове, те могат да бъдат привлекателни цели за групи за зловреден софтуер от тип ransomware, операции за изнудване с данни и субекти, извършващи шпионаж.

Kiteworks актуализира своето предупреждение на 27 септември и заяви, че клиентите могат да върнат системите си онлайн, ако вече не са ги рестартирали.

Компанията заяви, че е възстановила всички хоствани от Kiteworks системи и те функционират нормално. Клиентите, използващи самостоятелно хоствани Advanced Forms, бяха инструктирани да се свържат с техническата поддръжка за съдействие преди или по време на възстановяването.

Компанията също така поясни, че заплахата не е засегнала останалите ѝ дъщерни дружества, включително Zivver, DRACOON, totemo, ownCloud, WAMNET, Maytech, Bonfy.ai и 123FormBuilder.

За екипите по сигурност събитието засилва необходимостта да поддържат софтуера на доставчиците до поддържани версии, да следят внимателно бюлетините на доставчиците, да документират процедурите за изключване и възстановяване и да запазват логовете за последващ преглед.

Дори когато няма потвърдено компрометиране, организациите трябва да проверяват за необичайна активност при автентикация, неочаквани административни промени, подозрителни прехвърляния на файлове и мрежови връзки, включващи засегнатите системи.