Οι μηχανές κρατήσεων κάνουν τον κόσμο των ταξιδιών και της φιλοξενίας να περιστρέφεται και σύμφωνα με τα αποτελέσματα των τελευταίων εκθέσεων με παγκόσμια νούμερα πάνω από 500 δις $ στον κλάδο, περιστρέφεται γρήγορα. Ο τουρισμός, ανεξαρτήτως της μορφής του, έχει εντάξει σταθερά στο portfolio των εργαλείων του τις μηχανές κρατήσεων για καταλύματα, μεταφορές αλλά και υπηρεσίες.

  Αυτές οι μηχανές κρατήσεων αποτελούν ένα κρίσιμο, σχεδόν αόρατο μέρος της βιομηχανίας φιλοξενίας και η ασφάλειά τους είναι απαραίτητη για την προστασία των προσωπικών και οικονομικών πληροφοριών των επισκεπτών αλλά και τα έσοδα των επιχειρήσεων. Περιστασιακά, οι πλατφόρμες κρατήσεων πέφτουν θύματα κακόβουλων που χρησιμοποιούν ευπάθειες στον κώδικα για να αποκτήσουν πρόσβαση σε ευαίσθητες πληροφορίες πελατών, όπως όνομα, διεύθυνση, διεύθυνση email, αριθμός τηλεφώνου, αριθμός πιστωτικής ή χρεωστικής κάρτας, ημερομηνία λήξης και κωδικός ασφαλείας ή κωδικός επαλήθευσης κάρτας . Ως παράδειγμα αναφέρεται η περίπτωση επίθεσης στο IRM Next Generation online booking engine της Resort Data Processing, Inc. (“RDP”) που σημειώθηκε το 2021. 

  Αυτή η επίθεση πιθανώς δεν είναι μοναδική μεταξύ της μεγάλης γκάμα μηχανών online κρατήσεων που έχουν κατασκευαστεί από διάφορες άλλες εταιρείες. Ωστόσο, σχετίζεται στενά με μια έρευνα που πραγματοποίησε η Bitdefender όταν κλήθηκε για βοήθεια. Παρεμπιπτόντως, τα αποτελέσματα της έρευνας μας βοήθησαν επίσης να κατανοήσουμε πώς έλαβε χώρα η κυβερνοεπίθεση αυτή και συντάσσουμε τα ευρήματά μας σε αυτήν την έκθεση για να βοηθήσουμε άλλες επιχειρηματικές οντότητες να παραμείνουν προστατευμένες.

Η επίθεση με μια ματιά

  Κατά τη διερεύνηση της ανώμαλης δραστηριότητας, οι ερευνητές της Bitdefender βρήκαν κακόβουλα αρχεία σε servers που φιλοξενούν την μηχανή online κρατήσεων IRM Next Generation. Η έρευνά μας αποκαλύπτει την έκταση της επίθεσης, αλλά επίσης σκιαγραφεί αρκετά τρωτά σημεία στη μηχανή κρατήσεων που ταυτοποιήθηκαν, καταλογοποιήθηκαν και αναφέρθηκαν υπεύθυνα στον ευάλωτο προμηθευτή σύμφωνα με το παρακάτω χρονοδιάγραμμα.

Αναγνωρισμένες Αδυναμίες

• CVE-2023-39420 – Use of Hard-coded Credentials in RDPCore.dll (CWE-798)
• CVE-2023-39421 – Use of Hard-coded Credentials in RDPWin.dll CWE-798)
• CVE-2023-39422 – Use of Hard-coded Credentials in /irmdata/api/ endpoints (CWE-798)
• CVE-2023-39423 – Improper Neutralization of Special Elements used in an SQL Command in RDPData.dll (CWE-89)
• CVE-2023-39424 – Improper Neutralization of Special Elements in Output Used by a Downstream Component (‘Injection’) in RDPngFileUpload.dll (CWE-74)

Το Χρονοδιάγραμμα Γνωστοποίησης

Απρίλιος-Μάιος, 2023 – Η Bitdefender εντοπίζει προβλήματα σε πολλαπλά στοιχεία της εφαρμογής IRMNg κατά τη διάρκεια μιας έρευνας μόλυνσης από κακόβουλο λογισμικό

23 Μαΐου 2023 – Η Bitdefender κάνει μια πρώτη προσπάθεια επαφής με τον ευάλωτο προμηθευτή μέσω email

30 Μαΐου 2023 – Δεδομένου ότι στην προηγούμενη προσπάθεια δεν είχαμε απόκριση, κάναμε μια δεύτερη προσπάθεια μέσω email

02 Αυγούστου 2023 – Η Bitdefender εκχωρεί αριθμούς CVE για τα εντοπισμένα τρωτά σημεία

16 Αυγούστου 2023 – Η Bitdefender συνεχίζει να επικοινωνεί με τον ευάλωτο προμηθευτή μέσω Twitter και Facebook.  Οι προσπάθειές μας δεν βρίσκουν απόκριση.

7 Σεπτεμβρίου 2023 – Αυτή η αναφορά γίνεται δημόσια ως μέρος του προγράμματος υπεύθυνης δημοσιοποίησης

Υπεύθυνη Δημοσιοποίηση

  Ως αρχή αριθμοδότησης CVE, κατανοούμε τη σημασία της αποκάλυψης ευπαθειών. Την τελευταία δεκαετία, στείλαμε (και λάβαμε) πολλές τέτοιες ειδοποιήσεις. Αυτή τη φορά, οι προσπάθειές μας να προσεγγίσουμε τον ευάλωτο προμηθευτή παρέμειναν αναπάντητες. Δεδομένου του γεγονότος ότι οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν ενεργά αυτά τα τρωτά σημεία και ότι η έρευνά μας αποκάλυψε την ύπαρξη πολλών άλλων θυμάτων, αποφασίσαμε να δημοσιοποιήσουμε αυτές τις πληροφορίες και προτρέπουμε όλες τις εταιρείες που χρησιμοποιούν τις ευάλωτες εκδόσεις, να αξιολογήσουν τον αντίκτυπο αυτών των τρωτών σημείων και να λάβουν τα κατάλληλα μέτρα (μπορείτε επίσης να διαβάσετε αναλυτικότερα τα μέρη της επίθεσης στο Business Insights Blog )

Indicators of Compromise

  Μια ενημερωμένη και πλήρης λίστα των indicators of compromise είναι διαθέσιμη στους χρήστες του Bitdefender Advanced Threat Intelligence. Οι επί του παρόντος γνωστοί δείκτες εμπεριέχονται αναλυτικά στο πλήρες ερευνητικό έγγραφο που διατίθεται παρακάτω εδώ : Download the whitepaper