Tutuksi käynyt suuntaus muuttuu vakavaksi: Kiristysohjelmat hyödyntävät VPN-haavoittuvuuksia

VPN:ien pitäisi olla yritysverkon lukittu etuovi. Yhä useammin ne ovat ovi, jonka hyökkääjät vääntävät auki ensimmäisenä. Kiristyshaittaohjelmien toimintaa seuraavat tietoturvatutkijat ovat havainneet kampanjoita, jotka kohdistuvat erityisesti Palo Alton, Fortinetin, Citrixin ja Check Pointin tietoturvajärjestelmien haavoittuvuuksiin – neljän laajimmin käytetyn yritys-VPN- ja verkkoturvatoimittajan ratkaisuihin. Ilmiö korostaa kasvavaa suuntausta siinä, miten verkkorikolliset saavat ensijalansijansa yritysverkkoihin: ei pelkästään tietojenkalasteluviestien tai varastettujen salasanojen avulla, vaan juuri niiden laitteiden kautta, joiden on määrä pitää etäyhteydet turvassa.

Tämä ei ole tarina yhdestä yrityksestä tai yhdestä tuotteesta. Se on merkki siitä, että VPN-kiristysohjelmahaavoittuvuuksista on tullut koko toimialan suosima hyökkäyspinta, riippumatta toimittajan maineesta tai markkinaosuudesta.

Mihin VPN-toimittajiin hyökkäykset kohdistuvat ja miksi

Palo Alto, Fortinet, Citrix ja Check Point myyvät kaikki VPN- ja verkkoturvalaitteita, jotka sijaitsevat yritysinfrastruktuurin reunalla – juuri siellä, mistä etätyöntekijät, alihankkijat ja yhteistyökumppanit muodostavat yhteyden. Tämä sijainti tekee niistä arvokkaita ja näkyviä kohteita. Laitteet ovat suunnitellusti internetiin päin, joten hyökkääjien ei tarvitse huijata ketään klikkaamaan haitallista linkkiä. Heidän tarvitsee vain löytää järjestelmä, jossa on haavoittuva, päivittämätön ohjelmistoversio, ja yhdistää siihen suoraan.

VPN-kiristyshaittaohjelmien tekijöille tämä on houkuttelevaa hyvin yksinkertaisesta syystä. Yksi ainoa haavoittuvuus VPN-yhdyskäytävässä voi mahdollisesti avata tien koko sisäverkkoon ja ohittaa kerrostetut suojaukset, joita organisaatiot tyypillisesti rakentavat sähköpostin ja päätelaitteiden ympärille. Sen sijaan, että hyökkääjät etenisivät sisään vaarantuneen kannettavan kautta, he voivat kävellä sisään yhdyskäytävästä, jonka piti olla vahvin tarkastuspiste.

Kuinka päivittämättömistä VPN-haavoittuvuuksista tulee kiristysohjelman sisäänpääsytie

Hyökkäysten mekaniikka on varsin yhdenmukainen näissä kampanjoissa. VPN-tuotteesta löydetään haavoittuvuus – joko tietoturvatutkimuksen, toimittajan ilmoituksen tai päivityksen takaisinmallintamisen kautta. Kiristyshaittaohjelmaryhmät ja niiden kanssa työskentelevät pääsynvälittäjät toimivat nopeasti ja alkavat skannata internetiä löytääkseen organisaatioita, joissa on edelleen haavoittuva versio käytössä. Kun kohde on tunnistettu, haavoittuvuutta käytetään jalansijan saamiseen verkossa, usein järjestelmänvalvojan oikeuksin.

Siitä eteenpäin pelikirja on tuttu: hyökkääjät liikkuvat sivuttaissuunnassa järjestelmien välillä, kartoittavat arvokasta dataa, estävät varmuuskopioiden toiminnan mahdollisuuksien mukaan ja ottavat käyttöön kiristysohjelman salaamaan tiedostot samalla kun he varastavat arkaluontoisia tietoja lisäpainostuskeinoksi. Koko ketju haavoittuvasta VPN:stä täyteen verkon haltuunottoon voi tapahtua nopeammin kuin monet IT-tiimit ehtivät reagoida, varsinkin jos päivityssyklit laahaavat toimittajan ilmoitusten perässä.

Erityisen huolestuttavan tästä suuntauksesta tekee se, että VPN-laitteita kohdellaan usein "asenna ja unohda" -infrastruktuurina. Kun ne on kerran määritetty, ne eivät välttämättä saa samaa säännöllistä tarkastelua kuin työntekijöiden kannettavat tai pilvitilit, mikä tekee niistä houkuttelevan katvealueen hyökkääjille, jotka tietävät tarkalleen, mistä etsiä.

VPN-murtojen todelliset kustannukset, kun henkilötiedot paljastuvat

Kun VPN:ään liittyvä tietomurto johtaa onnistuneeseen kiristyshaittaohjelmahyökkäykseen, seuraukset ulottuvat paljon teknistä käyttökatkoa pidemmälle. Organisaatioilla, jotka säilyttävät henkilö-, talous- tai terveystietoja, on edessään lisätaakka tietosuojalakien velvoitteista, tietoturvaloukkausten ilmoituksista ja viranomaistarkastelusta, kun hyökkääjät ovat päässeet sisäisiin järjestelmiin.

Selkeä esimerkki näistä jatkoseurauksista tulee Irlannista, jossa HSE:lle määrättiin 300 000 euron sakko sen jälkeen, kun kiristysohjelmahyökkäys osui Tullamoren sairaalaan. Tämä tapaus osoittaa, miten yksittäinen onnistunut verkkohyökkäys voi kärjistyä merkittäviksi taloudellisiksi seuraamuksiksi ja pitkäaikaiseksi maineen vahingoittumiseksi vielä pitkään sen jälkeen, kun alkuperäinen tietomurto on havaittu ja eristetty. Se muistuttaa, että päivittämättömän VPN:n kustannuksia ei mitata vain lunnasvaatimuksissa tai käyttökatkoksissa, vaan viranomaissakoissa ja yleisön luottamuksen murenemisessa, kun henkilötiedot päätyvät vääriin käsiin.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi käyttää minkä tahansa suuren toimittajan, kuten Palo Alton, Fortinetin, Citrixin tai Check Pointin, VPN-laitteita, tämä suuntaus on suora kehotus tarkistaa päivitystenhallintakäytännöt. VPN-kiristysohjelmahaavoittuvuudet eivät katso yrityksen kokoa. Sekä pienyritykset että suuryritykset joutuvat kohteiksi sen perusteella, ovatko niiden järjestelmät alttiina ja päivittämättä, eivät sen perusteella, miten tunnettuja ne ovat.

Yksittäisille käyttäjille ja IT-hallinnon ammattilaisille viesti on sama: VPN-infrastruktuuri tarvitsee saman tiukan tietoturvahuomion kuin mikä tahansa muukin kriittinen järjestelmä – ei vähempää.

Mitä yksityishenkilöiden ja yritysten tulisi tarkistaa VPN-tietoturvastaan

Muutamalla käytännön toimenpiteellä altistumista näille hyökkäyksille voi vähentää merkittävästi:

  • Varmista, että kaikki VPN-laitteet ja laiteohjelmistot käyttävät uusimpia toimittajan julkaisemia päivityksiä, ja tilaa VPN-toimittajasi tietoturvatiedotteet, jotta päivityksiä ei jää huomaamatta.
  • Selvitä, mitkä VPN-hallintaliittymät ovat suoraan alttiina internetille, ja rajoita pääsyä mahdollisuuksien mukaan verkon segmentoinnilla tai sallittujen osoitteiden listauksella.
  • Ota monivaiheinen tunnistautuminen käyttöön kaikilla VPN-tileillä, sillä tunnistetietoihin perustuva pääsy on usein varamenetelmä, jota hyökkääjät käyttävät ohjelmistohyväksikäyttöjen rinnalla.
  • Tarkista VPN-yhdyskäytävien lokitus ja valvonta havaitaksesi epätavalliset kirjautumismallit tai asetusmuutokset varhaisessa vaiheessa.
  • Laadi toimintasuunnitelma nimenomaan VPN:ään liittyvien tietomurtojen varalle, sillä tapaus, johon HSE:n kiristysohjelmasakko liittyy, osoittaa, miten nopeasti verkkohyökkäys voi kärjistyä tietosuoja- ja talousongelmaksi.

Kiristyshaittaohjelmaryhmät jatkavat seuraavan päivittämättömän VPN-haavoittuvuuden etsintää, koska se toimii. VPN-kiristysohjelmahaavoittuvuuksien edellä pysyminen tarkoittaa päivitysten, käyttöoikeuksien hallinnan ja valvonnan kohtelemista jatkuvina prioriteetteina kertaluonteisten asennustehtävien sijaan. Näiden toimenpiteiden toteuttaminen nyt on huomattavasti hallittavampi investointi kuin tietomurron seurausten hoitaminen myöhemmin.