Kako su ukradeni VPN podaci za prijavu postali ulazna točka za ransomware i wiper programe

Kaspersky je objavio novo istraživanje koje identificira tri različite skupine prijetnji koje ciljaju ruska poduzeća, a zajednička nit koja se provlači kroz sve njih uznemirujuća je u svojoj jednostavnosti: kompromitirani VPN podaci za prijavu. Umjesto da se oslanjaju isključivo na zero-day ranjivosti ili složeni razvoj zlonamjernog softvera, napadači iza ovih kampanja navodno su koristili ukradene ili zloupotrijebljene VPN podatke za prijavu kako bi ušli na prednja vrata korporativnih mreža. Odatle su rasporedili kombinaciju backdoora, ransomwarea i destruktivnog wiper zlonamjernog softvera.

Ovaj obrazac odražava širi trend na koji sigurnosni istraživači upozoravaju u cijeloj industriji. Napad putem kompromitiranih VPN podataka za prijavu ne zahtijeva sofisticiranost nove ranjivosti. Zahtijeva samo jedno važeće korisničko ime i lozinku, često pribavljene phishingom, credential stuffingom ili kupnjom na ilegalnim tržištima. Jednom kada napadač ima taj pristup, VPN osmišljen da drži strance vani postaje pouzdan tunel ravno u mrežu, nerazlučiv od legitimnog prometa udaljenih zaposlenika.

Što tri skupine prijetnji otkrivaju o sigurnosnim nedostacima korporativnih VPN-ova

Prema Kasperskyjevim nalazima, svaka od tri skupine slijedila je različite krajnje ciljeve, u rasponu od uspostavljanja trajnog backdoor pristupa do šifriranja podataka radi otkupnine do raspoređivanja wipera osmišljenih isključivo za uništavanje sustava, a ne za izvlačenje plaćanja. Ono što ih povezuje nije zajednički alat ili pripisivanje jednoj grupi, već zajednička metoda početnog pristupa: VPN podaci za prijavu koji nikada nisu smjeli biti upotrebljivi strancu.

To preklapanje je važno. Sugerira da se ruska poduzeća, kao i organizacije drugdje, suočavaju s istom strukturnom slabošću: VPN pristup se često tretira kao jednokratni događaj autentifikacije, a ne kao kontinuirano nadzirani odnos povjerenja. Jednom kada je skup podataka za prijavu važeći, mnoge VPN konfiguracije dodjeljuju širok pristup mreži bez dodatne verifikacije, segmentacije ili praćenja ponašanja. Napadači koji iskorištavaju taj nedostatak ne moraju probiti vatrozid u tradicionalnom smislu. Potrebna im je samo lozinka koja nije rotirana, označena ili zaštićena višefaktorskom autentifikacijom.

Ova vrsta upada temeljenog na podacima za prijavu često prolazi ispod radara u usporedbi s probojima koji privlače naslove. Kao što je obrađeno u nedavnom pregledu ruskog Zimbra špijuniranja i iznude Stadler Rail, mnogi od najznačajnijih napada nikada ne dođu na naslovnice, iako se oslanjaju na iste slabosti na razini infrastrukture viđene u Kasperskyjevom izvješću. Napadi temeljeni na podacima za prijavu i pristupu često su nedovoljno prijavljeni upravo zato što im nedostaje drama jedne dramatične ranjivosti, ali su jednako štetni.

Prakse higijene podataka za prijavu koje sprječavaju upade putem VPN-a

Dobra vijest je da je napad putem kompromitiranih VPN podataka za prijavu jedna od kategorija upada koje je moguće spriječiti, pod uvjetom da organizacije tretiraju VPN pristup s istom strogosti kao i svaki drugi privilegirani sustav. Nekoliko praksi dosljedno smanjuje ovaj rizik:

  • Nametnite višefaktorsku autentifikaciju pri svakoj VPN prijavi, ne samo za administratorske račune
  • Redovito rotirajte podatke za prijavu i odmah nakon svakog sumnjivog phishing incidenta
  • Pratite VPN zapise za prijave s neobičnih lokacija, uređaja ili u vremenima koja odstupaju od normalnog ponašanja zaposlenika
  • Segmentirajte mrežni pristup tako da jedna VPN prijava ne dodjeljuje široko, neograničeno kretanje kroz interne sustave
  • Pravovremeno ukinite nekorištene ili neaktivne VPN račune, jer su zaboravljeni podaci za prijavu često oni koje napadači najlakše iskorištavaju

Nijedna od ovih mjera nije egzotična. To su standardne prakse upravljanja identitetima i pristupom koje mnoge organizacije već poznaju, ali ih ne provode dosljedno, posebno u okruženjima rada na daljinu gdje se korištenje VPN-a ubrzano širilo posljednjih godina.

Što to znači za vas

Većina čitatelja ove stranice ne upravlja korporativnom VPN infrastrukturom, ali lekcija iz Kasperskyjevog istraživanja jednako se izravno primjenjuje na osobno korištenje VPN-a. Ako ponovno koristite lozinke na više servisa, preskačete višefaktorsku autentifikaciju ili zadržavate stare VPN račune koje više ne koristite, izloženi ste istoj temeljnoj slabosti koja je pustila ove tri skupine prijetnji u ruske korporativne mreže. VPN je samo onoliko siguran koliko su sigurni podaci za prijavu koji ga štite.

Za poduzeća, ovo izvješće podsjetnik je da VPN sigurnost nije alat koji se "postavi i zaboravi". Zahtijeva aktivno upravljanje podacima za prijavu, praćenje i periodični pregled, posebno dok se rad na daljinu i hibridni rad i dalje uvelike oslanjaju na VPN pristup za svakodnevno poslovanje.

Ključni zaključci za djelovanje

  • Omogućite višefaktorsku autentifikaciju na svakom VPN računu koji koristite, osobnom ili poslovnom
  • Koristite upravitelj lozinkama kako biste izbjegli ponovno korištenje VPN podataka za prijavu na više servisa
  • Redovito provjeravajte i uklanjajte VPN račune ili uređaje koje više ne koristite
  • Ako upravljate korporativnim sustavima, tretirajte anomalije VPN prijave ozbiljno kao i svako drugo upozorenje o upadu
  • Ostanite informirani o trendovima napada temeljenih na podacima za prijavu, jer napad putem kompromitiranih VPN podataka za prijavu često uzrokuje jednaku štetu kao sofisticirana ranjivost, uz mnogo manje pompe