Hvordan stjålne VPN-legitimationsoplysninger blev indgangspunktet for ransomware og wipers

Kaspersky har offentliggjort ny forskning, der identificerer tre forskellige trusselsklynger målrettet russiske virksomheder, og den fælles tråd gennem dem alle er urovekkende i sin enkelhed: kompromitterede VPN-legitimationsoplysninger. I stedet for udelukkende at stole på zero-day-exploits eller kompleks malware-udvikling brugte angriberne bag disse kampagner angiveligt stjålne eller misbrugte VPN-loginoplysninger til at gå ind ad hoveddøren til virksomhedsnetværk. Derfra implementerede de en blanding af backdoors, ransomware og destruktiv wiper-malware.

Dette mønster afspejler en bredere tendens, som sikkerhedsforskere har peget på på tværs af branchen. Et angreb med kompromitterede VPN-legitimationsoplysninger kræver ikke sofistikeringen af en ny exploit. Det kræver kun ét gyldigt brugernavn og én adgangskode, ofte opnået gennem phishing, credential stuffing eller køb på underjordiske markeder. Når en angriber først har den adgang, bliver en VPN, der er designet til at holde uvedkommende ude, i stedet en betroet tunnel direkte ind i netværket, umulig at skelne fra legitim fjernmedarbejdertrafik.

Hvad de tre trusselsklynger afslører om sikkerhedshuller i virksomheders VPN

Ifølge Kasperskys fund forfulgte hver af de tre klynger forskellige slutmål, lige fra at etablere vedvarende backdoor-adgang til at kryptere data for løsepenge til at implementere wipers designet udelukkende til at ødelægge systemer snarere end at trække betaling ud. Det, der binder dem sammen, er ikke fælles værktøjer eller tilskrivning til en enkelt gruppe, men en fælles metode til indledende adgang: VPN-legitimationsoplysninger, som aldrig burde have været anvendelige for en uvedkommende.

Det sammenfald er vigtigt. Det tyder på, at russiske virksomheder, ligesom organisationer andre steder, står over for den samme strukturelle svaghed: VPN-adgang behandles ofte som en engangshændelse for autentificering snarere end et kontinuerligt overvåget tillidsforhold. Når et sæt legitimationsoplysninger først er gyldigt, giver mange VPN-konfigurationer bred netværksadgang uden yderligere verifikation, segmentering eller adfærdsovervågning. Angribere, der udnytter dette hul, behøver ikke at bryde gennem en firewall i traditionel forstand. De har blot brug for en adgangskode, der ikke er blevet roteret, flagget eller beskyttet med multi-faktor-autentificering.

Denne form for legitimationsbaseret indtrængen flyver ofte under radaren sammenlignet med opsigtsvækkende brud. Som dækket i en nylig opsummering af russisk Zimbra-spionage og Stadler Rail-afpresningsepisoder, når mange af de mest konsekvensrige angreb aldrig forsiden, selvom de er afhængige af de samme infrastrukturniveau-svagheder, som ses i Kasperskys rapport. Legitimations- og adgangsbaserede angreb er ofte underrapporterede netop, fordi de mangler dramaet fra en enkelt dramatisk exploit, men de er lige så skadelige.

Praksisser for legitimationshygiejne, der forhindrer VPN-baserede brud

Den gode nyhed er, at et angreb med kompromitterede VPN-legitimationsoplysninger er en af de mere forebyggelige kategorier af indtrængen, forudsat at organisationer behandler VPN-adgang med samme stringens som ethvert andet privilegeret system. Et par praksisser reducerer konsekvent denne risiko:

  • Håndhæv multi-faktor-autentificering ved hvert VPN-login, ikke kun for administrator konti
  • Roter legitimationsoplysninger regelmæssigt og straks efter enhver mistænkt phishing-hændelse
  • Overvåg VPN-logfiler for logins fra usædvanlige placeringer, enheder eller tidspunkter, der afviger fra normal medarbejderadfærd
  • Segmenter netværksadgang, så et enkelt VPN-login ikke giver bred, ubegrænset bevægelse på tværs af interne systemer
  • Nedlæg ubrugte eller inaktive VPN-konti hurtigt, da glemte legitimationsoplysninger ofte er dem, angribere finder nemmest at udnytte

Ingen af disse foranstaltninger er eksotiske. De er standardpraksisser for identitets- og adgangsstyring, som mange organisationer allerede kender til, men undlader konsekvent at håndhæve, især på tværs af fjernarbejdsmiljøer, hvor VPN-brug er vokset hurtigt i de senere år.

Hvad dette betyder for dig

De fleste læsere af dette websted driver ikke virksomheders VPN-infrastruktur, men lektionen fra Kasperskys forskning gælder lige så direkte for personlig VPN-brug. Hvis du genbruger adgangskoder på tværs af tjenester, springer multi-faktor-autentificering over eller holder fast i gamle VPN-konti, du ikke længere bruger, er du udsat for den samme grundlæggende svaghed, som lukkede disse tre trusselsklynger ind i russiske virksomhedsnetværk. En VPN er kun så sikker som de legitimationsoplysninger, der beskytter den.

For virksomheder er denne rapport en påmindelse om, at VPN-sikkerhed ikke er et "sæt det og glem det"-værktøj. Det kræver aktiv styring af legitimationsoplysninger, overvågning og regelmæssig gennemgang, især da fjern- og hybridarbejde fortsat er stærkt afhængigt af VPN-adgang til daglig drift.

Handlingsrettede konklusioner

  • Aktivér multi-faktor-autentificering på enhver VPN-konto, du bruger, personlig eller professionel
  • Brug en adgangskodeadministrator for at undgå at genbruge VPN-legitimationsoplysninger på tværs af flere tjenester
  • Gennemgå og fjern regelmæssigt VPN-konti eller enheder, du ikke længere bruger
  • Hvis du administrerer virksomhedssystemer, skal du behandle VPN-loginanomalier så alvorligt som enhver anden indtrængningsalarm
  • Hold dig informeret om tendenser inden for legitimationsbaserede angreb, da et angreb med kompromitterede VPN-legitimationsoplysninger ofte forårsager lige så meget skade som en sofistikeret exploit, med langt mindre opmærksomhed