Više aktera prijetnji, uključujući ransomware skupine, iskoristilo je ranjivost visoke ozbiljnosti na GlobalProtect portalu tvrtke Palo Alto Networks, prema Cybersecurity Dive. Ransomware aktivnost vezana uz ranjivost Palo Alto GlobalProtect oštar je podsjetnik da alati namijenjeni držanju stranaca izvan mreže mogu postati ulazna vrata za napadače.

Izvorni izvještaj je kratak, a ovaj se članak drži onoga što potvrđuje: ranjivost je ocijenjena kao visoko ozbiljna, nalazi se u GlobalProtect portalu i više od jedne skupine ju sada iskorištava. Ne navodi CVE identifikator ni pojedinosti tehničkog mehanizma, pa ne navodimo ni mi. Administratori bi se za te pojedinosti trebali osloniti na vlastite savjete proizvođača.

Što je GlobalProtect i zašto je ova ranjivost važna

GlobalProtect je Palo Alto Networks rješenje za daljinski pristup. Organizacije ga koriste kako bi zaposlenicima omogućile povezivanje s internim resursima izvan ureda, a portal je komponenta do koje korisnici i uređaji prvi dolaze. Budući da mora biti dostupan s interneta, izložen je po dizajnu.

Ta izloženost je ono što ranjivost visoke ozbiljnosti u ovoj komponenti čini tako privlačnom. Gateway ili portal nalazi se na granici između javnog interneta i privatnih sustava. Ako ga napadač može zloupotrijebiti, može započeti svoj upad već unutar perimetra, često s manje alarma nego što bi ih pokrenula phishing kampanja.

Kako ransomware skupine iskorištavaju ranjivost

Ključni detalj u izvještaju je širina iskorištavanja. Više aktera prijetnji koristi ranjivost, a među njima su i ransomware operateri. Kada ranjivost prijeđe s jednog aktera na nekoliko njih, to obično znači da je put napada dovoljno pouzdan za ponovnu upotrebu i da se znanje o iskorištavanju širi.

Za ransomware skupine, rubni uređaji poput VPN portala vrijedni su jer nude način ulaska koji zaobilazi velik dio sigurnosti krajnjih točaka dublje u mreži. Nakon ulaska, napadači obično kreću mapirati okruženje, stječu širi pristup, kradu podatke i postavljaju enkripciju. Profil ransomwarea BlackCat/ALPHV pokazuje kako sofisticirana skupina djeluje nakon što stekne uporište. Slično tome, FBI-jev savjet o ransomwareu Gunra opisuje operaciju dvostruke iznude, gdje se ukradeni podaci koriste kao poluga uz enkripciju.

Izvorni članak ne navodi koje su ransomware skupine uključene ni koliko je žrtava, pa nećemo nagađati ni o jednom ni o drugom.

Što IT administratori trebaju učiniti sada: zakrpati i tragati za kompromitacijom

Ako vaša organizacija koristi GlobalProtect, tretirajte to kao hitno. Praktični koraci:

  • Primijenite popravke proizvođača. Provjerite službene sigurnosne savjete tvrtke Palo Alto Networks za relevantne zakrpe ili ublažavanja i primijenite ih što je prije moguće.
  • Pretpostavite da je izloženost moguća. Zakrpa zatvara vrata, ali ne uklanja napadača koji je već prošao. Pregledajte zapise za neobične VPN sesije, prijave s neočekivanih lokacija ili nove račune i uređaje.
  • Tragajte za indikatorima kompromitacije. Koristite indikatore koje su objavili proizvođač i sigurnosne agencije te tražite znakove lateralnog kretanja iz VPN podmreže u interne sustave.
  • Resetirajte vjerodajnice gdje je opravdano. Ako pronađete sumnjivu aktivnost, rotirajte lozinke i ključeve za račune koji su imali dodir s gatewayom.
  • Smanjite izloženost. Ograničite tko može doći do upravljačkih sučelja i potvrdite da su prema internetu objavljene samo usluge koje su vam potrebne.
  • Provjerite svoje sigurnosne kopije. Pobrinite se da su nedavne, izvan mreže ili nepromjenjive i testirane, jer oporavak od ransomwarea ovisi o njima.

Je li vaš VPN gateway jedinstvena točka kvara?

Ovaj incident pokreće šire pitanje dizajna. Ako je jedan uređaj okrenut prema internetu jedina barijera između napadača i vaše interne mreže, jedna ranjivost može poništiti mnoga druga ulaganja.

Segmentacija mreže pomaže: kompromitirana VPN sesija ne bi trebala moći dosegnuti sve. Pristup s najmanjim privilegijama ograničava što bilo koji račun može učiniti, a praćenje VPN aktivnosti zbog anomalija skraćuje vrijeme između upada i otkrivanja. Ransomware i aktivnosti povezane s državom obično iskorištavaju istu slabu točku, rubnu infrastrukturu, kao što se vidi u iranskom napadu na vodovodne sustave Minnesote, koji ističe kako izloženi putovi daljinskog pristupa mogu biti važni daleko izvan korporativnih ureda.

Što to znači za vas

Ako ste IT ili sigurnosni stručnjak koji koristi GlobalProtect, prioritet je zakrpati i provjeriti ima li kompromitacije sada, a ne u sljedećem prozoru za održavanje. Ako ste zaposlenik koji se povezuje putem korporativnog VPN-a, ne morate sami ništa mijenjati, ali možete pitati svoj IT tim je li gateway ažuriran i paziti na neočekivane zahtjeve za resetiranje lozinke ili MFA upite.

Ako koristite potrošački VPN, a ne korporativni gateway, ovaj se konkretni izvještaj ne odnosi na vas. Opća lekcija i dalje vrijedi: održavajte VPN softver ažurnim i koristite jake, jedinstvene lozinke s višefaktorskom autentifikacijom na svojim računima.

Ključni zaključci

  • Više aktera prijetnji, uključujući ransomware skupine, iskorištava ranjivost visoke ozbiljnosti na GlobalProtect portalu.
  • Zakrpajte prema službenim smjernicama tvrtke Palo Alto Networks, zatim tragajte za znakovima da su napadači već unutra.
  • Segmentirajte mrežu i ograničite privilegije kako jedan kompromitirani gateway ne bi izložio sve.
  • Provjerite svoje sigurnosne kopije prije nego što vam zatrebaju.

Ransomware aktivnost vezana uz ranjivost Palo Alto GlobalProtect pokazuje kako pristup rubnom uređaju može brzo prerasti u iznudu. Da biste vidjeli što se događa nakon tog prvog uporišta, pročitajte profil BlackCat/ALPHV, a zatim provjerite svoj gateway.