Μια αλυσίδα εκμετάλλευσης zero-day που στοχεύει συσκευές VPN Ivanti Connect Secure έχει παρατηρηθεί σε πραγματικές συνθήκες, σύμφωνα με αναφορά της εταιρείας ασφαλείας Rescana. Ο αναφερόμενος αντίκτυπος είναι σοβαρός: μη αυθεντικοποιημένοι επιτιθέμενοι μπορούν να φτάσουν σε απομακρυσμένη εκτέλεση κώδικα με δικαιώματα root και να κλέψουν διαπιστευτήρια, ακόμη και σε συσκευές που είναι πλήρως ενημερωμένες. Αυτή η εκμετάλλευση zero-day στο Ivanti Connect Secure είναι μια υπενθύμιση ότι μια πύλη VPN που βρίσκεται στην άκρη ενός δικτύου είναι ένας από τους πιο πολύτιμους στόχους που μπορεί να επιλέξει ένας επιτιθέμενος.
Η αναφορά πηγής είναι μόνο εν μέρει διαθέσιμη σε εμάς, επομένως αυτό το άρθρο περιορίζεται σε ό,τι είναι επιβεβαιωμένο και αποφεύγει εικασίες για τεχνικές λεπτομέρειες. Όπου προσφέρουμε καθοδήγηση, πρόκειται για γενική πρακτική ασφαλείας και όχι για οδηγίες που εκδίδονται από τον προμηθευτή.
Γιατί μια πλήρως ενημερωμένη συσκευή VPN παραβιάστηκε ακόμη
Η λέξη "zero-day" εξηγεί τα περισσότερα. Ένα zero-day είναι ένα ελάττωμα που οι επιτιθέμενοι εκμεταλλεύονται πριν υπάρξει διόρθωση, οπότε η εγκατάσταση κάθε διαθέσιμης ενημέρωσης δεν προστατεύει από αυτό. Μια πλήρως ενημερωμένη συσκευή προστατεύεται μόνο από προβλήματα που είναι ήδη γνωστά και διορθωμένα.
Η αναφορά περιγράφει μια αλυσίδα εκμετάλλευσης, δηλαδή πολλές αδυναμίες συνδεδεμένες μεταξύ τους. Οι αλυσίδες είναι συνηθισμένες σε σοβαρές επιθέσεις επειδή ένα σφάλμα σπάνια δίνει πλήρη έλεγχο από μόνο του. Σε συνδυασμό, μια σειρά από μικρότερα ελαττώματα μπορεί να μεταφέρει έναν επιτιθέμενο από την παντελή έλλειψη πρόσβασης στον πλήρη έλεγχο της συσκευής, χωρίς να απαιτείται σύνδεση.
Για χρονολογικό πλαίσιο, το vpn.social έχει ήδη καλύψει την προηγούμενη γνώση της Ivanti για μέρος του ελαττώματος. Σε εκείνη την κάλυψη, η Ivanti δήλωσε ότι εντόπισε μέρος του ελαττώματος μήνες πριν το χρησιμοποιήσουν οι επιτιθέμενοι, αλλά έκρινε ότι δεν πληρούσε το κριτήριο για έκδοση εκτός κανονικού κύκλου. Αυτό το ιστορικό έχει σημασία επειδή δείχνει πόσο μεγάλο μπορεί να είναι το χάσμα μεταξύ της στιγμής που ένας προμηθευτής αντιλαμβάνεται ένα πρόβλημα και της στιγμής που οι πελάτες λαμβάνουν διόρθωση.
Τι σημαίνουν η πρόσβαση root και η κλοπή διαπιστευτηρίων για τους χρήστες
Το root είναι το υψηλότερο επίπεδο προνομίων σε ένα σύστημα βασισμένο σε Linux. Ένας επιτιθέμενος με root σε μια συσκευή VPN δεν περιορίζεται σε ό,τι θα μπορούσε να κάνει ένας κανονικός χρήστης. Μπορεί δυνητικά να διαβάσει ή να αλλάξει οτιδήποτε διαχειρίζεται η συσκευή, να τροποποιήσει τη διαμόρφωσή της και να εκτελέσει τον δικό του κώδικα.
Η κλοπή διαπιστευτηρίων είναι το μέρος που επηρεάζει περισσότερο τους απλούς χρήστες. Μια συσκευή VPN επεξεργάζεται συνδέσεις για υπαλλήλους, συνεργάτες και εταίρους. Αν ένας επιτιθέμενος μπορεί να υποκλέψει αυτά τα διαπιστευτήρια, η ζημιά μπορεί να εξαπλωθεί πολύ πέρα από τη συσκευή:
- Κλεμμένα ονόματα χρήστη και κωδικοί πρόσβασης μπορούν να επαναχρησιμοποιηθούν για πρόσβαση σε εσωτερικά συστήματα, email και υπηρεσίες cloud.
- Παραβιασμένοι λογαριασμοί μπορούν να φαίνονται σαν νόμιμοι απομακρυσμένοι εργαζόμενοι, γεγονός που καθιστά την κακόβουλη δραστηριότητα δυσκολότερη στον εντοπισμό.
- Οι επιτιθέμενοι μπορεί να διατηρήσουν την πρόσβαση μέσω κλεμμένων διαπιστευτηρίων ακόμη και αφού καθαριστεί η ίδια η συσκευή.
Αν συνδέεστε στον χώρο εργασίας σας μέσω Connect Secure, ο πρακτικός κίνδυνος είναι ότι τα στοιχεία σύνδεσής σας θα μπορούσαν να εκτεθούν χωρίς εσείς να έχετε κάνει κάτι λάθος.
Πώς να ελέγξετε αν η συσκευή Connect Secure σας είναι εκτεθειμένη
Αν διαχειρίζεστε το Ivanti Connect Secure, θεωρήστε το πιθανό στόχο μέχρι να έχετε στοιχεία για το αντίθετο. Μερικοί λογικοί έλεγχοι:
- Επιβεβαιώστε την έκθεσή σας. Μάθετε αν η συσκευή είναι προσβάσιμη από το διαδίκτυο και ποιος μπορεί να έχει πρόσβαση στη διεπαφή διαχείρισής της. Ό,τι δεν χρειάζεται να είναι δημόσιο δεν θα πρέπει να είναι.
- Παρακολουθείτε τις ειδοποιήσεις της Ivanti. Ο προμηθευτής είναι η αυθεντική πηγή για επίσημες διορθώσεις, μετριασμούς και καθοδήγηση ανίχνευσης, και αυτές οι λεπτομέρειες μπορεί να αλλάξουν καθώς συνεχίζεται η έρευνα.
- Χρησιμοποιήστε τα εργαλεία ακεραιότητας του προμηθευτή. Αν η Ivanti παρέχει εργαλείο ελέγχου ακεραιότητας ή παρόμοιο εργαλείο για το προϊόν σας, εκτελέστε το. Αντιμετωπίστε ένα καθαρό αποτέλεσμα με κάποια επιφύλαξη, καθώς ένας επιτιθέμενος με δικαιώματα root μπορεί να παραποιήσει ό,τι αναφέρει η συσκευή για τον εαυτό της.
- Ελέγξτε τα αρχεία καταγραφής. Αναζητήστε ασυνήθιστες συνδέσεις, μη αναμενόμενες διοικητικές αλλαγές, περίεργες εξερχόμενες συνδέσεις και δραστηριότητα αυθεντικοποίησης σε παράξενες ώρες ή από άγνωστες τοποθεσίες.
- Ρωτήστε την ομάδα ή τον πάροχο ασφαλείας σας. Αν δεν είστε ο διαχειριστής, ρωτήστε τους απευθείας αν η συσκευή έχει ελεγχθεί.
Βήματα μετριασμού: περιστροφή διαπιστευτηρίων, παρακολούθηση και πολυεπίπεδη άμυνα
Επειδή μια ενημέρωση δεν μπορεί να λύσει πλήρως ένα πρόβλημα zero-day, η άμυνα πρέπει να είναι πολυεπίπεδη.
- Περιστρέψτε τα διαπιστευτήρια. Αν η παραβίαση είναι πιθανή, αλλάξτε κωδικούς πρόσβασης για χρήστες VPN, λογαριασμούς υπηρεσιών και οποιαδήποτε μυστικά είναι αποθηκευμένα στη συσκευή ή διέρχονται από αυτήν. Κάντε το αφού ασφαλίσετε τη συσκευή, διαφορετικά τα νέα διαπιστευτήρια μπορεί επίσης να υποκλαπούν.
- Επιβάλετε έλεγχο ταυτότητας πολλαπλών παραγόντων. Περιορίζει το τι μπορούν να κάνουν μόνο τα κλεμμένα διαπιστευτήρια, αν και δεν είναι πλήρης απάντηση αν ένας επιτιθέμενος ελέγχει την ίδια την πύλη.
- Τμηματοποιήστε το δίκτυο. Οι χρήστες VPN θα πρέπει να φτάνουν μόνο στα συστήματα που χρειάζονται, ώστε ένας παραβιασμένος λογαριασμός ή συσκευή να μην μπορεί να κινηθεί ελεύθερα.
- Παρακολουθείτε συνεχώς. Στείλτε τα αρχεία καταγραφής της συσκευής σε ένα ξεχωριστό σύστημα που η συσκευή δεν μπορεί να αλλοιώσει, και ειδοποιείστε για ανωμαλίες.
- Σχεδιάστε για επανακατασκευές. Αν βρείτε σημάδια παραβίασης, ακολουθήστε την καθοδήγηση του προμηθευτή για την επανακατασκευή της συσκευής αντί να υποθέσετε ότι ένας απλός καθαρισμός αρκεί.
Τι Σημαίνει Αυτό Για Εσάς
Αν είστε διαχειριστής, το δίδαγμα είναι ότι η κατάσταση ενημέρωσης δεν είναι το ίδιο με την ασφάλεια. Οι συσκευές άκρης χρειάζονται παρακολούθηση, περιορισμένη έκθεση και σχέδιο αντιμετώπισης περιστατικών, όχι μόνο ενημερώσεις. Αν είστε χρήστης VPN σε έναν οργανισμό που διαχειρίζεται το Connect Secure, δεν ελέγχετε τη συσκευή, αλλά μπορείτε να αλλάξετε τον κωδικό πρόσβασής σας, να ενεργοποιήσετε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου προσφέρεται και να αναφέρετε οτιδήποτε περίεργο, όπως μη αναμενόμενες προτροπές σύνδεσης ή ειδοποιήσεις ασφαλείας.
Επόμενα βήματα
Εξετάστε την έκθεσή σας στην εκμετάλλευση zero-day του Ivanti Connect Secure σήμερα: ελέγξτε ποιος μπορεί να φτάσει στη συσκευή, διαβάστε την τελευταία καθοδήγηση της Ivanti και περιστρέψτε τα διαπιστευτήρια αν υπάρχει οποιοδήποτε σημάδι παραβίασης. Για το ιστορικό του πώς εξελίχθηκε το χρονοδιάγραμμα αποκάλυψης και ενημέρωσης, διαβάστε την προηγούμενη αναφορά μας για την ανακάλυψη του ελαττώματος από την Ivanti τον Ιούνιο χωρίς έκδοση διόρθωσης. Οι λεπτομέρειες αυτής της αλυσίδας εκμετάλλευσης μπορεί να αλλάξουν καθώς προκύπτουν περισσότερες πληροφορίες, οπότε συνεχίστε να ελέγχετε τις επίσημες πηγές.
