MOVEit CVE-2023-34362 dan Kebocoran Data Massal

CVE-2023-34362 adalah celah SQL injection di MOVEit Transfer, aplikasi transfer file terkelola buatan Progress Software, yang dimanfaatkan kelompok ransomware CL0P untuk mencuri data dari banyak organisasi sekaligus pada pertengahan 2023. Penyerang tidak perlu login: cukup mengirim permintaan berbahaya ke aplikasi web MOVEit yang terbuka ke internet, memasang web shell, lalu menyedot isi database dan file yang tersimpan.

Kenapa ini penting bagi bisnis yang tidak memakai MOVEit? Karena polanya berulang. Aplikasi transfer file adalah tempat organisasi menitipkan data sensitif: data gaji, laporan keuangan, data pelanggan, berkas dari mitra. Satu celah di aplikasi seperti ini bisa membocorkan data bukan hanya milik pemilik server, tetapi juga milik semua pihak yang pernah mengirim file lewat sana.

Apa yang sebenarnya terjadi?

Menurut advisori bersama CISA dan FBI (AA23-158A), eksploitasi dimulai sekitar 27 Mei 2023, saat celah itu masih zero-day alias belum ada tambalannya. Progress menerbitkan advisori dan patch pada 31 Mei 2023. CISA memasukkan CVE-2023-34362 ke katalog Known Exploited Vulnerabilities pada 2 Juni 2023, dan advisori lengkap terbit 7 Juni 2023.

Pelakunya adalah CL0P, yang juga dilacak dengan nama TA505. CISA mencatat kelompok ini sebelumnya menjalankan kampanye serupa terhadap aplikasi transfer file lain, yaitu Accellion FTA (2020 sampai 2021) dan Fortra GoAnywhere MFT (awal 2023). Polanya konsisten: cari celah di perangkat lunak transfer file, curi data sebanyak mungkin dalam waktu singkat, lalu peras korban dengan ancaman publikasi.

Yang menarik, dalam kampanye ini CL0P lebih fokus mencuri data daripada mengenkripsi sistem. Korban diancam datanya akan dipublikasikan di situs kebocoran bila tidak membayar.

Bagaimana serangannya bekerja?

Langkah serangan berdasarkan advisori CISA:

• SQL injection di aplikasi web MOVEit Transfer memberi penyerang akses ke database di belakangnya.
• Web shell LEMURLOOT dipasang dengan nama human2.aspx, mirip file sah human.aspx supaya tidak mencolok.
• Web shell itu memakai password acak 36 karakter, lalu bisa mengunduh file, mengambil pengaturan penyimpanan Azure, membaca isi database SQL, serta membuat atau menghapus akun administrator.
• Akun admin buatan penyerang memakai nama tampilan "Health Check Service".

Karena data dicuri lewat aplikasi yang memang dirancang untuk memindahkan file, lalu lintasnya bisa tampak seperti aktivitas normal. Ini salah satu alasan banyak organisasi baru sadar setelah ada pemberitahuan dari pihak lain.

Versi mana yang terdampak dan bagaimana tambalannya?

CISA menyebut cabang yang terdampak adalah MOVEit Transfer 2023.0.0, 2022.1.x, 2022.0.x, 2021.1.x, 2021.0.x, 2020.1.x, dan 2020.0.x. Tambalan untuk cabang yang masih didukung saat itu tercantum di advisori Progress:

Setelah itu, Progress masih menerbitkan perbaikan untuk celah SQL injection lanjutan yang ditemukan saat pemeriksaan kode, yaitu CVE-2023-35036 dan CVE-2023-35708, pada Juni 2023. Jadi kalau kamu mengelola MOVEit, versi minimum di atas sudah tidak cukup. Pakai rilis terbaru yang didukung dan ikuti advisori resmi Progress.

Pelajaran untuk bisnis yang memakai aplikasi transfer file

Perlakukan aplikasi yang menghadap internet sebagai prioritas patch tertinggi. Portal transfer file, VPN, gateway email, dan panel admin adalah sasaran utama. Celah di aplikasi seperti ini yang masuk katalog KEV sebaiknya ditangani dalam hitungan jam atau hari, bukan menunggu jadwal bulanan. Cara memilah prioritasnya ada di katalog KEV CISA.

Jangan jadikan aplikasi transfer sebagai gudang arsip. Data yang sudah tidak dibutuhkan tidak bisa dicuri. Atur penghapusan otomatis file setelah periode tertentu dan bersihkan akun mitra yang tidak aktif.

Batasi siapa yang bisa menjangkau aplikasi. Bila mitranya terbatas, izinkan hanya IP mereka atau taruh portal di balik VPN. Ini tidak menggantikan patch, tetapi memperkecil kesempatan penyerang.

Pantau tanda-tanda yang tidak biasa. File web baru di direktori aplikasi, akun admin baru, dan lonjakan unduhan adalah sinyal yang bisa dipantau. Dasar membaca log ada di membaca log server untuk deteksi serangan.

Siapkan rencana untuk kebocoran data. Di Indonesia, kebocoran data pribadi membawa kewajiban pemberitahuan menurut UU PDP. Langkah pelaporannya dibahas di lapor kebocoran data menurut UU PDP. Backup yang terpisah dan tidak bisa diubah juga tetap penting, karena kelompok yang sama di kampanye lain memakai enkripsi ransomware.

Tanyakan pemasokmu. Data perusahaanmu bisa bocor dari aplikasi milik vendor, konsultan, atau penyedia layanan penggajian yang memakai perangkat lunak rentan. Saat memilih mitra, tanyakan bagaimana mereka menangani patch dan pemberitahuan insiden.

Kasus MOVEit menunjukkan bahwa satu celah di perangkat lunak yang dipakai bersama bisa berubah menjadi kebocoran berantai ke banyak organisasi. Bagi bisnis kecil, pelajarannya sederhana: ketahui aplikasi apa saja yang terbuka ke internet, patch secepat mungkin, simpan data seperlunya, dan siapkan langkah bila kebocoran terjadi.