Come le credenziali VPN rubate sono diventate il punto di ingresso per ransomware e wiper

Kaspersky ha pubblicato una nuova ricerca che identifica tre distinti cluster di minacce che prendono di mira aziende russe, e il filo conduttore che li attraversa tutti è inquietante nella sua semplicità: credenziali VPN compromesse. Anziché affidarsi esclusivamente a exploit zero-day o allo sviluppo di malware complessi, gli attaccanti dietro queste campagne avrebbero utilizzato dettagli di accesso VPN rubati o usati impropriamente per entrare dalla porta principale delle reti aziendali. Da lì, hanno distribuito un mix di backdoor, ransomware e malware wiper distruttivi.

Questo schema riflette una tendenza più ampia che i ricercatori di sicurezza hanno segnalato in tutto il settore. Un attacco basato su credenziali VPN compromesse non richiede la sofisticatezza di un exploit inedito. Richiede solo un nome utente e una password validi, spesso ottenuti tramite phishing, credential stuffing o acquisto da mercati clandestini. Una volta che un attaccante ha quell'accesso, una VPN progettata per tenere fuori gli estranei diventa invece un tunnel fidato direttamente verso la rete, indistinguibile dal traffico legittimo di un dipendente in remoto.

Cosa rivelano i tre cluster di minacce sulle lacune di sicurezza delle VPN aziendali

Secondo i risultati di Kaspersky, ciascuno dei tre cluster perseguiva obiettivi finali diversi, che andavano dallo stabilire un accesso backdoor persistente alla cifratura dei dati per il riscatto fino al rilascio di wiper progettati puramente per distruggere i sistemi anziché estorcere un pagamento. Ciò che li unisce non sono strumenti condivisi o l'attribuzione a un singolo gruppo, ma un metodo condiviso di accesso iniziale: credenziali VPN che non avrebbero mai dovuto essere utilizzabili da un estraneo.

Questa sovrapposizione è importante. Suggerisce che le aziende russe, come le organizzazioni altrove, hanno a che fare con la stessa debolezza strutturale: l'accesso VPN è spesso trattato come un evento di autenticazione una tantum anziché come una relazione di fiducia monitorata continuamente. Una volta che un set di credenziali è valido, molte configurazioni VPN concedono un ampio accesso alla rete senza ulteriori verifiche, segmentazione o monitoraggio comportamentale. Gli attaccanti che sfruttano questa lacuna non hanno bisogno di violare un firewall nel senso tradizionale. Hanno solo bisogno di una password che non è stata ruotata, segnalata o protetta con l'autenticazione a più fattori.

Questo tipo di intrusione basata su credenziali spesso passa inosservata rispetto alle violazioni che finiscono sui titoli. Come trattato in un recente riepilogo di spionaggio Zimbra russo e incidenti di estorsione a Stadler Rail, molti degli attacchi più consequenziali non finiscono mai in prima pagina, anche se si basano sulle stesse debolezze a livello di infrastruttura viste nel rapporto di Kaspersky. Gli attacchi basati su credenziali e accessi sono spesso sottosegnalati proprio perché mancano del dramma di un singolo exploit eclatante, ma sono altrettanto dannosi.

Pratiche di igiene delle credenziali che prevengono le violazioni basate su VPN

La buona notizia è che un attacco basato su credenziali VPN compromesse è una delle categorie di intrusione più prevenibili, a condizione che le organizzazioni trattino l'accesso VPN con lo stesso rigore di qualsiasi altro sistema privilegiato. Alcune pratiche riducono costantemente questo rischio:

  • Applicare l'autenticazione a più fattori su ogni accesso VPN, non solo per gli account amministratore
  • Ruotare regolarmente le credenziali e immediatamente dopo qualsiasi sospetto incidente di phishing
  • Monitorare i log VPN per accessi da località, dispositivi o orari insoliti che si discostano dal normale comportamento dei dipendenti
  • Segmentare l'accesso alla rete in modo che un singolo accesso VPN non conceda movimenti ampi e senza restrizioni attraverso i sistemi interni
  • Dis mettere prontamente gli account VPN inutilizzati o dormienti, poiché le credenziali dimenticate sono spesso quelle che gli attaccanti trovano più facili da sfruttare

Nessuna di queste misure è esotica. Sono pratiche standard di gestione delle identità e degli accessi che molte organizzazioni già conoscono ma che non riescono ad applicare in modo coerente, soprattutto negli ambienti di lavoro remoto dove l'uso della VPN si è ampliato rapidamente negli ultimi anni.

Cosa significa per te

La maggior parte dei lettori di questo sito non gestisce infrastrutture VPN aziendali, ma la lezione della ricerca di Kaspersky si applica altrettanto direttamente all'uso personale della VPN. Se riutilizzi le password tra i servizi, salti l'autenticazione a più fattori o conservi vecchi account VPN che non usi più, sei esposto alla stessa debolezza fondamentale che ha permesso a questi tre cluster di minacce di entrare nelle reti aziendali russe. Una VPN è sicura solo quanto le credenziali che la proteggono.

Per le aziende, questo rapporto è un promemoria che la sicurezza VPN non è uno strumento "imposta e dimentica". Richiede una gestione attiva delle credenziali, monitoraggio e revisione periodica, soprattutto mentre il lavoro remoto e ibrido continua a fare affidamento pesantemente sull'accesso VPN per le operazioni quotidiane.

Punti chiave operativi

  • Abilitare l'autenticazione a più fattori su qualsiasi account VPN tu utilizzi, personale o professionale
  • Usare un gestore di password per evitare di riutilizzare le credenziali VPN su più servizi
  • Verificare regolarmente e rimuovere account o dispositivi VPN che non usi più
  • Se gestisci sistemi aziendali, tratta le anomalie di accesso VPN con la stessa serietà di qualsiasi altro avviso di intrusione
  • Rimani informato sulle tendenze degli attacchi basati su credenziali, poiché un attacco basato su credenziali VPN compromesse spesso causa tanto danno quanto un exploit sofisticato, con molta meno risonanza mediatica