Több fenyegetési szereplő, köztük zsarolóvírus-csoportok is kihasználtak egy nagy súlyosságú hibát a Palo Alto Networks GlobalProtect portáljában a Cybersecurity Dive szerint. A Palo Alto GlobalProtect sebezhetőségével kapcsolatos zsarolóvírus-tevékenység éles emlékeztető arra, hogy a hálózatról a kívülállók távoltartására épített eszközök a támadók első számú belépési pontjává válhatnak.

A forrásjelentés rövid, és ez a cikk ahhoz tartja magát, amit megerősít: a hiba nagy súlyosságú besorolást kapott, a GlobalProtect portálban található, és immár több csoport is kihasználja. Nem nevez meg CVE-azonosítót és nem részletezi a technikai mechanizmust, így mi sem tesszük. A rendszergazdáknak ezekhez a részletekhez a gyártó saját tanácsadását kell alapul venniük.

Mi a GlobalProtect, és miért számít ez a hiba

A GlobalProtect a Palo Alto Networks távoli hozzáférési megoldása. A szervezetek arra használják, hogy a munkatársak az irodán kívülről csatlakozhassanak belső erőforrásokhoz, és a portál az a komponens, amelyet a felhasználók és eszközök elsőként érnek el. Mivel az internetről elérhetőnek kell lennie, tervezésénél fogva ki van téve.

Ez a kitettség teszi annyira vonzóvá az ebben a komponensben lévő nagy súlyosságú hibát. Egy átjáró vagy portál a nyilvános internet és a privát rendszerek közötti határon helyezkedik el. Ha egy támadó vissza tud élni vele, a behatolását már a peremvédelem mögött kezdheti, gyakran kevesebb riasztással, mint amit egy adathalász kampány kiváltana.

Hogyan használják ki a zsarolóvírus-csoportok a sebezhetőséget

A jelentés kulcsfontosságú részlete a kihasználás szélessége. Több fenyegetési szereplő használja a hibát, és köztük zsarolóvírus-operátorok is vannak. Amikor egy sebezhetőség egyetlen szereplőtől több felé terjed, az általában azt jelenti, hogy a támadási útvonal elég megbízható az újrafelhasználáshoz, és hogy a kihasználási ismeretek terjednek.

A zsarolóvírus-csapatok számára az olyan peremeszközök, mint a VPN-portálok, azért értékesek, mert olyan belépési lehetőséget kínálnak, amely megkerüli a hálózat mélyén lévő végpontbiztonság jelentős részét. Belépés után a támadók jellemzően feltérképezik a környezetet, szélesebb hozzáférést szereznek, adatokat lopnak és titkosítást telepítenek. A BlackCat/ALPHV zsarolóvírus-profil bemutatja, hogyan működik egy kifinomult csapat, miután lábra kap. Hasonlóképpen az FBI Gunra zsarolóvírusra vonatkozó tanácsadása egy kettős zsarolási műveletet ír le, ahol a lopott adatokat a titkosítás mellett nyomásgyakorlásra használják.

A forrás cikk nem mondja meg, mely zsarolóvírus-csoportok érintettek, és azt sem, hány áldozat van, így egyikről sem találgatunk.

Mit tegyenek most az IT-rendszergazdák: javítás és a kompromittálódás felkutatása

Ha szervezete GlobalProtectet üzemeltet, kezelje sürgős ügyként. Gyakorlati lépések:

  • Alkalmazza a gyártó javításait. Nézze át a Palo Alto Networks hivatalos biztonsági tanácsadásait a megfelelő javításokért vagy enyhítésekért, és amint lehetséges, alkalmazza őket.
  • Tételezze fel, hogy a kitettség lehetséges. A javítás bezárja az ajtót, de nem távolítja el azt a támadót, aki már bejött rajta. Vizsgálja át a naplókat szokatlan VPN-munkamenetek, váratlan helyekről érkező bejelentkezések, illetve új fiókok és eszközök után kutatva.
  • Kutasson kompromittálódásra utaló jelek után. Használja a gyártó és a biztonsági szervezetek által közzétett indikátorokat, és keressen jeleket arra, hogy a VPN-alhálózatról oldalirányú mozgás történt a belső rendszerek felé.
  • Állítsa vissza a hitelesítő adatokat, ahol indokolt. Ha gyanús tevékenységet talál, cserélje le az átjárót elérő fiókok jelszavait és kulcsait.
  • Csökkentse a kitettséget. Korlátozza, ki érheti el a felügyeleti felületeket, és ellenőrizze, hogy csak a szükséges szolgáltatások legyenek közzétéve az internetre.
  • Ellenőrizze a biztonsági mentéseit. Győződjön meg arról, hogy azok frissek, offline vagy megváltoztathatatlanok és teszteltek, mivel a zsarolóvírus utáni helyreállítás ezeken múlik.

Egyetlen hibaforrás-e a VPN-átjárója?

Ez az eset egy tágabb tervezési kérdést vet fel. Ha egyetlen internetre néző készülék az egyetlen akadály a támadók és a belső hálózat között, egyetlen hiba sok más befektetést tehet semmissé.

A hálózati szegmentálás segít: egy kompromittált VPN-munkamenet ne érhessen el mindent. A legkisebb jogosultság elve korlátozza, mit tehet bármelyik fiók, a VPN-tevékenység anomáliákra való monitorozása pedig lerövidíti a behatolás és az észlelés közötti időt. A zsarolóvírusos és az államilag támogatott tevékenység egyaránt hajlamos ugyanazt a gyenge pontot, a pereminformatikát kihasználni, ahogy az az iráni támadásban Minnesota vízrendszerei ellen is látható, amely rávilágít arra, hogy a kitett távoli hozzáférési útvonalak jóval a vállalati irodákon túl is számíthatnak.

Mit jelent ez Önnek

Ha Ön GlobalProtectet használó IT- vagy biztonsági szakember, a prioritás most a javítás és a kompromittálódás ellenőrzése, nem a következő karbantartási ablak. Ha Ön olyan munkatárs, aki vállalati VPN-en keresztül csatlakozik, Önnek személyesen nem kell semmit megváltoztatnia, de megkérdezheti IT-csapatát, frissült-e az átjáró, és figyeljen a váratlan jelszó-visszaállítási vagy MFA-kérésekre.

Ha fogyasztói VPN-t használ vállalati átjáró helyett, ez a konkrét jelentés nem Önről szól. Az általános tanulság azonban továbbra is érvényes: tartsa naprakészen a VPN-szoftvert, és használjon erős, egyedi jelszavakat többtényezős hitelesítéssel a fiókjain.

Fő tanulságok

  • Több fenyegetési szereplő, köztük zsarolóvírus-csoportok használják ki a GlobalProtect portál egy nagy súlyosságú hibáját.
  • Javítson a Palo Alto Networks hivatalos útmutatása alapján, majd kutasson jelek után, hogy a támadók már bent vannak-e.
  • Szegmentálja a hálózatát és korlátozza a jogosultságokat, hogy egy kompromittált átjáró ne tegyen ki mindent.
  • Még mielőtt szüksége lenne rájuk, ellenőrizze a biztonsági mentéseit.

A Palo Alto GlobalProtect sebezhetőségével kapcsolatos zsarolóvírus-tevékenység megmutatja, milyen gyorsan válhat a peremeszközökhöz való hozzáférés zsarolássá. Ha látni szeretné, mi történik az első lábra kapás után, olvassa el a BlackCat/ALPHV profilt, majd menjen és ellenőrizze az átjáróját.