Как откраднатите VPN идентификационни данни станаха входна точка за рансъмуер и wipers

Kaspersky публикува ново изследване, идентифициращо три отделни заплахи, насочени към руски предприятия, и общата нишка между тях е обезпокояваща със своята простота: компрометирани VPN идентификационни данни. Вместо да разчитат единствено на zero-day експлойти или сложна разработка на зловреден софтуер, атакуващите зад тези кампании са използвали откраднати или злоупотребени VPN данни за вход, за да влязат през предната врата на корпоративните мрежи. Оттам те са разположили комбинация от backdoors, рансъмуер и разрушителен wiper зловреден софтуер.

Този модел отразява по-широка тенденция, която изследователите по сигурност отбелязват в цялата индустрия. Атака с компрометирани VPN идентификационни данни не изисква изтънчеността на нов експлойт. Тя изисква само едно валидно потребителско име и парола, често получени чрез фишинг, credential stuffing или закупуване от подземни пазари. След като атакуващият получи този достъп, VPN, проектиран да държи външни лица навън, вместо това се превръща в доверен тунел направо в мрежата, неразличим от легитимния трафик на отдалечени служители.

Какво разкриват трите заплахи за пропуските в корпоративната VPN сигурност

Според констатациите на Kaspersky всеки от трите клъстера е преследвал различни крайни цели — от установяване на постоянен backdoor достъп до криптиране на данни за откуп до разполагане на wipers, предназначени единствено да унищожат системи, а не да извлекат плащане. Това, което ги свързва, не е споделен инструментариум или приписване на една група, а споделен метод за първоначален достъп: VPN идентификационни данни, които никога не е трябвало да бъдат използваеми от външно лице.

Това припокриване е важно. То предполага, че руските предприятия, подобно на организациите другаде, се сблъскват със същата структурна слабост: VPN достъпът често се третира като еднократно събитие за автентикация, а не като непрекъснато наблюдавана връзка на доверие. След като набор от идентификационни данни е валиден, много VPN конфигурации предоставят широк мрежов достъп без допълнителна проверка, сегментация или поведенчески мониторинг. Атакуващите, експлоатиращи тази празнина, не се нуждаят от пробив в защитна стена в традиционния смисъл. Те просто се нуждаят от парола, която не е била сменена, маркирана или защитена с многофакторна автентикация.

Този вид проникване, базирано на идентификационни данни, често остава под радара в сравнение с breaches, привличащи заглавия. Както е разгледано в скорошен преглед на руския Zimbra шпионаж и инцидентите с изнудване на Stadler Rail, много от най-значимите атаки никога не попадат на първите страници на новините, въпреки че разчитат на същите слабости на инфраструктурно ниво, видени в доклада на Kaspersky. Атаките, базирани на идентификационни данни и достъп, често са недостатъчно докладвани именно защото им липсва драматизмът на един-единствен драматичен експлойт, но те са също толкова разрушителни.

Практики за хигиена на идентификационни данни, които предотвратяват breaches чрез VPN

Добрата новина е, че атака с компрометирани VPN идентификационни данни е една от по-предотвратимите категории проникване, при условие че организациите третират VPN достъпа със същата строгост като всяка друга привилегирована система. Няколко практики последователно намаляват този риск:

  • Налагайте многофакторна автентикация при всяко влизане през VPN, не само за администраторски акаунти
  • Сменяйте идентификационните данни редовно и незабавно след всеки предполагаем фишинг инцидент
  • Наблюдавайте VPN логовете за влизания от необичайни местоположения, устройства или часове, които се отклоняват от нормалното поведение на служителите
  • Сегментирайте мрежовия достъп, така че едно VPN влизане да не предоставя широко, неограничено движение из вътрешните системи
  • Премахвайте своевременно неизползвани или неактивни VPN акаунти, тъй като забравените идентификационни данни често са тези, които атакуващите намират за най-лесни за експлоатиране

Нито една от тези мерки не е екзотична. Това са стандартни практики за управление на идентичност и достъп, за които много организации вече знаят, но не успяват последователно да наложат, особено в среди за отдалечена работа, където използването на VPN се разшири бързо през последните години.

Какво означава това за вас

Повечето читатели на този сайт не управляват корпоративна VPN инфраструктура, но урокът от изследването на Kaspersky се отнася също толкова пряко и за личната употреба на VPN. Ако използвате повторно пароли в различни услуги, пропускате многофакторната автентикация или задържате стари VPN акаунти, които вече не използвате, вие сте изложени на същата фундаментална слабост, която пропусна тези три заплахи в руските корпоративни мрежи. Един VPN е толкова сигурен, колкото са идентификационните данни, които го защитават.

За бизнеса този доклад е напомняне, че VPN сигурността не е инструмент „настрой и забрави". Тя изисква активно управление на идентификационни данни, мониторинг и периодичен преглед, особено когато отдалечената и хибридната работа продължава да разчита в голяма степен на VPN достъп за ежедневни операции.

Практични изводи

  • Активирайте многофакторна автентикация за всеки VPN акаунт, който използвате, личен или професионален
  • Използвайте мениджър на пароли, за да избегнете повторното използване на VPN идентификационни данни в различни услуги
  • Редовно одитирайте и премахвайте VPN акаунти или устройства, които вече не използвате
  • Ако управлявате корпоративни системи, третирайте аномалиите при VPN влизане толкова сериозно, колкото всеки друг сигнал за проникване
  • Бъдете информирани за тенденциите в атаките, базирани на идентификационни данни, тъй като атака с компрометирани VPN идентификационни данни често причинява толкова щети, колкото сложен експлойт, с много по-малко шум