Hogyan váltak a ellopott VPN-hitelesítő adatok a zsarolóvírusok és törlőprogramok belépési pontjává
A Kaspersky új kutatást tett közzé, amely három különálló fenyegetésklasztert azonosít, amelyek orosz vállalatokat céloznak, és a közös szál mindegyikükben nyugtalanítóan egyszerű: kompromittált VPN-hitelesítő adatok. A nulladik napi sebezhetőségekre vagy bonyolult kártevőfejlesztésre való támaszkodás helyett e kampányok mögött álló támadók állítólag ellopott vagy visszaélt VPN-bejelentkezési adatokat használtak, hogy a vállalati hálózatok főbejáratán sétáljanak be. Onnan hátsó ajtók, zsarolóvírusok és pusztító törlőprogramok keverékét telepítették.
Ez a minta egy szélesebb iparági trendet tükröz, amelyet biztonsági kutatók már jeleztek. Egy kompromittált VPN-hitelesítő adatokkal végrehajtott támadás nem igényli egy új sebezhetőség kifinomultságát. Csupán egyetlen érvényes felhasználónévre és jelszóra van szükség, amelyet gyakran adathalászat, hitelesítő adatok feltöltése vagy feketepiaci vásárlás útján szereznek meg. Amint a támadó hozzáfér, a VPN, amelyet arra terveztek, hogy kívül tartsa a kívülállókat, hirtelen egy megbízható alagúttá válik, amely egyenesen a hálózatba vezet, megkülönböztethetetlenül a legitim távoli munkavállalói forgalomtól.
Mit árul el a három fenyegetésklaszter a vállalati VPN-biztonsági hiányosságokról
A Kaspersky megállapításai szerint a három klaszter mindegyike más végcélt követett, az állandó hátsó ajtós hozzáféréstől a zsarolás céljából történő adattitkosításig, egészen a rendszerek pusztítására tervezett törlőprogramok telepítéséig, amelyek kizárólag a megsemmisítést szolgálják, nem pedig a fizetség kicsikarását. Ami összeköti őket, az nem a közös eszközkészlet vagy egyetlen csoporthoz való attribúció, hanem a kezdeti hozzáférés közös módszere: olyan VPN-hitelesítő adatok, amelyeket soha nem lett volna szabad egy kívülálló számára használhatónak lenniük.
Ez az átfedés számít. Azt sugallja, hogy az orosz vállalatok – akárcsak máshol a szervezetek – ugyanazzal a strukturális gyengeséggel küzdenek: a VPN-hozzáférést gyakran egyszeri hitelesítési eseményként kezelik, nem pedig folyamatosan figyelt bizalmi kapcsolatként. Amint egy hitelesítő adatkészlet érvényes, sok VPN-konfiguráció széles körű hálózati hozzáférést biztosít további ellenőrzés, szegmentálás vagy viselkedésfigyelés nélkül. Az ezt a rést kihasználó támadóknak nem kell hagyományos értelemben áttörniük a tűzfalat. Csupán egy jelszóra van szükségük, amelyet nem forgattak, nem jelöltek meg vagy nem védtek többtényezős hitelesítéssel.
Ez a fajta hitelesítő adatokon alapuló behatolás gyakran a radar alatt marad a címlapokra kerülő incidensekhez képest. Ahogyan arról egy nemrégiben megjelent az orosz Zimbra kémkedésről és a Stadler Rail zsarolási incidensekről szóló összefoglaló beszámolt, a legjelentősebb támadások közül sok soha nem kerül a címlapokra, annak ellenére, hogy ugyanazokra az infrastruktúra-szintű gyengeségekre támaszkodnak, amelyek a Kaspersky jelentésében is megjelennek. A hitelesítő adatokon és hozzáférésen alapuló támadásokat gyakran aluljelentik pontosan azért, mert hiányzik belőlük egyetlen drámai sebezhetőségkihasználás izgalma, ám ugyanolyan károsak.
Hitelesítő adatok higiéniájának gyakorlatai, amelyek megelőzik a VPN-alapú behatolásokat
A jó hír az, hogy a kompromittált VPN-hitelesítő adatokkal végrehajtott támadás a behatolások egyik leginkább megelőzhető kategóriája, feltéve, hogy a szervezetek ugyanolyan szigorral kezelik a VPN-hozzáférést, mint bármely más privilegizált rendszert. Néhány gyakorlat következetesen csökkenti ezt a kockázatot:
- Többtényezős hitelesítés kikényszerítése minden VPN-bejelentkezésnél, nem csak az adminisztrátori fiókoknál
- A hitelesítő adatok rendszeres forgatása és azonnali cseréje bármely gyanús adathalászati incidens után
- A VPN-naplók figyelése szokatlan helyekről, eszközökről vagy időpontokból történő bejelentkezések esetén, amelyek eltérnek a normál munkavállalói viselkedéstől
- A hálózati hozzáférés szegmentálása, hogy egyetlen VPN-bejelentkezés ne biztosítson széles körű, korlátlan mozgást a belső rendszerek között
- A nem használt vagy inaktív VPN-fiókok azonnali megszüntetése, mivel az elfelejtett hitelesítő adatok gyakran azok, amelyeket a támadók a legkönnyebben kihasználhatónak találnak
Ezen intézkedések egyike sem egzotikus. Ezek szabványos identitás- és hozzáférés-kezelési gyakorlatok, amelyeket sok szervezet már ismer, de nem kényszerít ki következetesen, különösen a távmunka-környezetekben, ahol a VPN-használat az elmúlt években gyorsan bővült.
Mit jelent ez Önnek
E webhely olvasóinak többsége nem üzemeltet vállalati VPN-infrastruktúrát, de a Kaspersky kutatásából levonható tanulság ugyanolyan közvetlenül alkalmazható a személyes VPN-használatra is. Ha jelszavakat használ újra szolgáltatások között, kihagyja a többtényezős hitelesítést, vagy megtartja régi, már nem használt VPN-fiókjait, ugyanannak az alapvető gyengeségnek van kitéve, amely beengedte ezt a három fenyegetésklasztert az orosz vállalati hálózatokba. Egy VPN csak annyira biztonságos, mint az azt védő hitelesítő adatok.
A vállalkozások számára ez a jelentés emlékeztető arra, hogy a VPN-biztonság nem egy „beállítod és elfelejted" eszköz. Aktív hitelesítőadat-kezelést, figyelést és rendszeres felülvizsgálatot igényel, különösen mivel a távmunka és a hibrid munkavégzés továbbra is nagymértékben támaszkodik a VPN-hozzáférésre a napi működés során.
Gyakorlati tanulságok
- Engedélyezze a többtényezős hitelesítést bármely Ön által használt VPN-fióknál, személyesnél vagy munkahelyinél
- Használjon jelszókezelőt, hogy elkerülje a VPN-hitelesítő adatok újrafelhasználását több szolgáltatás között
- Rendszeresen ellenőrizze és távolítsa el azokat a VPN-fiókokat vagy eszközöket, amelyeket már nem használ
- Ha vállalati rendszereket kezel, kezelje a VPN-bejelentkezési anomáliákat ugyanolyan komolyan, mint bármely más behatolási riasztást
- Maradjon tájékozott a hitelesítő adatokon alapuló támadási trendekről, mivel a kompromittált VPN-hitelesítő adatokkal végrehajtott támadás gyakran ugyanannyi kárt okoz, mint egy kifinomult sebezhetőségkihasználás, sokkal kevesebb hírveréssel
