Hakerzy włamali się do aplikacji 3CX w ataku na łańcuch dostaw. Klienci w Polsce również mogą być zagrożeni.

Aplikacja do rozmów i wideokonferencji 3CX jest wykorzystywana przez hakerów do atakowania klientów oraz łańcuchu dostaw. 3CX to firma opracowująca oprogramowanie VoIP IPBX, której rozwiązanie jest używane przez ponad 600 tys. firm na całym świecie i ma ponad 12 milionów użytkowników dziennie. W Polsce z usług 3CX korzysta ponad 150 dużych firm.

- Jest to klasyczny atak na łańcuch dostaw, chociaż nie ma żadnych dowodów na to, że doszło do jakiejkolwiek ingerencji w kod źródłowy 3CXDesktopApp. Nikt jednak nie spodziewał się, że aplikacja może stać się celem ataku, gdzie wprowadzono złośliwy implant – twierdzą analitycy firmy Check Point Software.

Aplikacja może nagrywać rozmowy i ułatwiać wideokonferencje i może być używana w systemach operacyjnych Windows, macOS i Linux. Z narzędzia korzystają przede wszystkim firmy, korzystające z hybrydowej lub zdalnej formy pracy. Wśród klientów 3CX są głównie duże przedsiębiorstwa, takie jak American Express, Coca-Cola, McDonald's, BMW, Honda, AirFrance, NHS, Toyota, Mercedes-Benz, IKEA i sieć hoteli HollidayInn. Zgodnie z ostrzeżeniami badaczy bezpieczeństwa, napastnicy atakują zarówno użytkowników Windows, jak i macOS korzystających z 3CX. 

- Ataki na łańcuch dostaw to jedna z najbardziej złożonych form ataku. Dostawcy zabezpieczeń nie mogą polegać wyłącznie na rozwiązaniach opartych na reputacji lub rozwiązaniach jednowarstwowych. Muszą kwestionować aktywność widzianą w sieci, punktach końcowych, serwerach – dodają eksperci firmy Check Point.

Analitycy nie są pewni co do grupy, która stoi za atakami – prawdopodobnie jest ona wspierana przez organizacje państwowe. Kampania ta podobna jest do działań wcześniej podejmowanych przez Lazarus Group czy UNC4034.

Jak firmy mogą zabezpieczyć się przed tego typu atakami? Rozwiązaniem może być platforma automatycznie powstrzymująca propagację i rozprzestrzenianie się zagrożeń, prowadząca analizę śledczą jako dodatkową weryfikację.