Wie gestohlene VPN-Zugangsdaten zum Einstiegspunkt für Ransomware und Wiper wurden

Kaspersky hat neue Forschungsergebnisse veröffentlicht, in denen drei verschiedene Bedrohungscluster identifiziert werden, die auf russische Unternehmen abzielen. Der gemeinsame Nenner, der sich durch alle zieht, ist in seiner Einfachheit beunruhigend: kompromittierte VPN-Zugangsdaten. Anstatt sich ausschließlich auf Zero-Day-Exploits oder komplexe Malware-Entwicklung zu verlassen, nutzten die Angreifer hinter diesen Kampagnen Berichten zufolge gestohlene oder missbrauchte VPN-Anmeldedaten, um durch die Vordertür in Unternehmensnetzwerke zu gelangen. Von dort aus setzten sie eine Mischung aus Backdoors, Ransomware und destruktiver Wiper-Malware ein.

Dieses Muster spiegelt einen breiteren Trend wider, den Sicherheitsforscher in der gesamten Branche seit Längerem beobachten. Ein Angriff mit kompromittierten VPN-Zugangsdaten erfordert nicht die Raffinesse eines neuartigen Exploits. Er erfordert lediglich einen gültigen Benutzernamen und ein gültiges Passwort, die oft durch Phishing, Credential Stuffing oder den Kauf auf Untergrundmärkten erlangt werden. Sobald ein Angreifer diesen Zugang hat, wird ein VPN, das eigentlich dazu gedacht ist, Außenstehende fernzuhalten, stattdessen zu einem vertrauenswürdigen Tunnel direkt ins Netzwerk, der nicht vom legitimen Datenverkehr eines Remote-Mitarbeiters zu unterscheiden ist.

Was die drei Bedrohungscluster über Sicherheitslücken in Unternehmens-VPNs verraten

Den Erkenntnissen von Kaspersky zufolge verfolgte jeder der drei Cluster unterschiedliche Endziele, von der Etablierung persistenten Backdoor-Zugangs über die Verschlüsselung von Daten für Lösegeld bis hin zum Einsatz von Wipern, die ausschließlich dazu dienen, Systeme zu zerstören, anstatt Zahlungen zu erpressen. Was sie verbindet, ist nicht gemeinsame Tooling-Nutzung oder die Zuordnung zu einer einzelnen Gruppe, sondern eine gemeinsame Methode des Erstzugangs: VPN-Zugangsdaten, die für einen Außenstehenden niemals nutzbar hätten sein dürfen.

Diese Überschneidung ist bedeutsam. Sie deutet darauf hin, dass russische Unternehmen, wie Organisationen anderswo auch, mit derselben strukturellen Schwäche zu kämpfen haben: VPN-Zugang wird oft als einmaliges Authentifizierungsereignis behandelt und nicht als kontinuierlich überwachte Vertrauensbeziehung. Sobald ein Zugangsdatensatz gültig ist, gewähren viele VPN-Konfigurationen breiten Netzwerkzugang ohne zusätzliche Verifizierung, Segmentierung oder Verhaltensüberwachung. Angreifer, die diese Lücke ausnutzen, müssen nicht im traditionellen Sinne eine Firewall durchbrechen. Sie brauchen nur ein Passwort, das nicht rotiert, markiert oder mit Multi-Faktor-Authentifizierung geschützt wurde.

Diese Art der zugangsdatenbasierten Intrusion bleibt oft unter dem Radar, verglichen mit Schlagzeilen machenden Sicherheitsverletzungen. Wie in einer aktuellen Zusammenfassung von russischer Zimbra-Spionage und Stadler-Rail-Erpressungsvorfällen berichtet wurde, schaffen es viele der folgenreichsten Angriffe nie auf die Titelseiten, obwohl sie auf denselben infrastrukturellen Schwächen beruhen, die im Kaspersky-Bericht beschrieben werden. Angriffe auf Basis von Zugangsdaten und Zugriff werden häufig deshalb unterberichtet, weil ihnen das Drama eines einzelnen spektakulären Exploits fehlt, doch sie sind ebenso schädlich.

Praktiken der Zugangsdaten-Hygiene, die VPN-basierte Sicherheitsverletzungen verhindern

Die gute Nachricht ist, dass ein Angriff mit kompromittierten VPN-Zugangsdaten zu den vermeidbareren Kategorien von Intrusionen gehört, vorausgesetzt, Organisationen behandeln VPN-Zugang mit derselben Strenge wie jedes andere privilegierte System. Einige Praktiken reduzieren dieses Risiko konsequent:

  • Multi-Faktor-Authentifizierung bei jeder VPN-Anmeldung erzwingen, nicht nur für Administratorkonten
  • Zugangsdaten regelmäßig und sofort nach jedem vermuteten Phishing-Vorfall rotieren
  • VPN-Protokolle auf Anmeldungen von ungewöhnlichen Standorten, Geräten oder zu Zeiten überwachen, die vom normalen Mitarbeiterverhalten abweichen
  • Netzwerkzugang segmentieren, damit eine einzelne VPN-Anmeldung keine breite, uneingeschränkte Bewegung über interne Systeme ermöglicht
  • Ungenutzte oder ruhende VPN-Konten zeitnah außer Betrieb nehmen, da vergessene Zugangsdaten häufig diejenigen sind, die Angreifer am leichtesten ausnutzen können

Keine dieser Maßnahmen ist exotisch. Es sind Standardpraktiken des Identity- und Access-Managements, die viele Organisationen bereits kennen, aber nicht konsequent durchsetzen, insbesondere in Remote-Work-Umgebungen, in denen die VPN-Nutzung in den letzten Jahren rapide zugenommen hat.

Was das für Sie bedeutet

Die meisten Leser dieser Seite betreiben keine Unternehmens-VPN-Infrastruktur, doch die Lehre aus der Kaspersky-Forschung gilt ebenso direkt für die persönliche VPN-Nutzung. Wenn Sie Passwörter über Dienste hinweg wiederverwenden, Multi-Faktor-Authentifizierung überspringen oder an alten VPN-Konten festhalten, die Sie nicht mehr nutzen, sind Sie derselben grundlegenden Schwäche ausgesetzt, die diesen drei Bedrohungsclustern den Zugang zu russischen Unternehmensnetzwerken ermöglichte. Ein VPN ist nur so sicher wie die Zugangsdaten, die es schützen.

Für Unternehmen ist dieser Bericht eine Erinnerung daran, dass VPN-Sicherheit kein „Einrichten und Vergessen"-Werkzeug ist. Sie erfordert aktives Management von Zugangsdaten, Überwachung und regelmäßige Überprüfung, insbesondere da Remote- und Hybridarbeit weiterhin stark auf VPN-Zugang für den täglichen Betrieb angewiesen ist.

Umsetzbare Erkenntnisse

  • Aktivieren Sie Multi-Faktor-Authentifizierung für jedes VPN-Konto, das Sie nutzen, privat oder beruflich
  • Verwenden Sie einen Passwortmanager, um die Wiederverwendung von VPN-Zugangsdaten über mehrere Dienste hinweg zu vermeiden
  • Überprüfen und entfernen Sie regelmäßig VPN-Konten oder Geräte, die Sie nicht mehr nutzen
  • Wenn Sie Unternehmenssysteme verwalten, behandeln Sie Anomalien bei VPN-Anmeldungen genauso ernst wie jede andere Intrusionswarnung
  • Bleiben Sie über Trends bei zugangsdatenbasierten Angriffen informiert, da ein Angriff mit kompromittierten VPN-Zugangsdaten oft ebenso viel Schaden verursacht wie ein ausgeklügelter Exploit, jedoch mit weit weniger Aufsehen