盗まれたVPN認証情報がいかにしてランサムウェアとワイパーの侵入経路となったか

Kasperskyは、ロシアの企業を標的とした3つの異なる脅威クラスターを特定した新しい調査結果を公開した。それらすべてに共通する糸は、その単純さゆえに不穏である。すなわち、侵害されたVPN認証情報である。ゼロデイエクスプロイトや複雑なマルウェア開発だけに頼るのではなく、これらのキャンペーンの背後にいる攻撃者たちは、盗まれたり悪用されたりしたVPNログイン情報を用いて、企業ネットワークの正面玄関から入り込んだと報じられている。そこから彼らは、バックドア、ランサムウェア、および破壊的なワイパーマルウェアを組み合わせて展開した。

このパターンは、セキュリティ研究者たちが業界全体で指摘してきた、より広範な傾向を反映している。侵害されたVPN認証情報による攻撃は、新規エクスプロイトのような高度な技術を必要としない。必要なのは、有効なユーザー名とパスワードが1組だけであり、それは多くの場合、フィッシング、クレデンシャルスタッフィング、または地下市場からの購入によって入手される。攻撃者がそのアクセス権を一度手に入れれば、部外者を締め出すために設計されたVPNが、正規のリモート従業員のトラフィックと見分けがつかない、ネットワークへの信頼されたトンネルへと変わってしまう。

3つの脅威クラスターが明らかにする企業VPNセキュリティの隙間

Kasperskyの発見によれば、3つのクラスターはそれぞれ異なる最終目標を追求しており、持続的なバックドアアクセスの確立から、身代金目的でのデータ暗号化、さらには支払いを引き出すためではなく純粋にシステムを破壊するために設計されたワイパーの展開にまで及んでいた。それらを結びつけているのは、共通のツールや単一グループへの帰属ではなく、共通の初期アクセス手法である。すなわち、本来部外者が使用できるはずのないVPN認証情報である。

この重なりは重要である。それは、ロシアの企業が、他地域の組織と同様に、同じ構造的弱点に直面していることを示唆している。VPNアクセスはしばしば、継続的に監視される信頼関係ではなく、一度きりの認証イベントとして扱われる。一度認証情報のセットが有効になれば、多くのVPN設定は、追加の検証、セグメンテーション、または行動監視なしに、広範なネットワークアクセスを許可してしまう。この隙間を悪用する攻撃者は、従来の意味でファイアウォールを突破する必要がない。必要なのは、ローテーションされていない、フラグが立てられていない、または多要素認証で保護されていないパスワードだけである。

この種の認証情報ベースの侵入は、見出しを賑わせる侵害と比べて、しばしばレーダーの下を潜り抜ける。最近のロシアのZimbraスパイ活動とStadler Rail恐喝事件のまとめで取り上げられたように、最も重大な攻撃の多くは、Kasperskyの報告書で見られたのと同じインフラストラクチャレベルの弱点に依存しているにもかかわらず、一面記事になることは決してない。認証情報およびアクセスベースの攻撃は、単一の劇的なエクスプロイトのドラマ性を欠くがゆえに、しばしば過小に報告されるが、それらは同じくらい有害である。

VPNベースの侵害を防ぐ認証情報衛生の実践

良い知らせは、侵害されたVPN認証情報による攻撃が、組織がVPNアクセスを他の特権システムと同様に厳格に扱うならば、より予防可能な侵入カテゴリーの一つであるということだ。いくつかの実践が一貫してこのリスクを低減する。

  • 管理者アカウントだけでなく、すべてのVPNログインで多要素認証を強制する
  • 認証情報を定期的に、およびフィッシングインシデントが疑われた直後に直ちにローテーションする
  • 通常の従業員の行動から逸脱する異常な場所、デバイス、または時間からのログインについてVPNログを監視する
  • 単一のVPNログインが内部システム全体にわたる広範で無制限の移動を許可しないように、ネットワークアクセスをセグメント化する
  • 未使用または休眠状態のVPNアカウントを速やかに廃止する。忘れられた認証情報は、攻撃者が最も悪用しやすいものだからである

これらの対策のいずれも奇抜なものではない。それらは、多くの組織がすでに知っているものの、特にVPN利用が近年急速に拡大したリモートワーク環境全体において、一貫して実施できていない標準的なアイデンティティおよびアクセス管理の実践である。

これがあなたにとって意味すること

このサイトの読者のほとんどは企業VPNインフラを運用していないが、Kasperskyの調査からの教訓は、個人のVPN利用にも同じくらい直接的に当てはまる。サービス間でパスワードを再利用したり、多要素認証を省略したり、もはや使用していない古いVPNアカウントを保持し続けたりするなら、あなたはこれら3つの脅威クラスターをロシアの企業ネットワークに入り込ませたのと同じ根本的な弱点にさらされている。VPNは、それを保護する認証情報と同じ程度にしか安全ではない。

企業にとって、この報告書は、VPNセキュリティが「設定して忘れる」ツールではないということを思い出させるものである。特にリモートおよびハイブリッドワークが日々の業務にVPNアクセスに大きく依存し続ける中で、それは能動的な認証情報管理、監視、および定期的なレビューを必要とする。

実行可能な要点

  • 個人用であれ業務用であれ、使用するすべてのVPNアカウントで多要素認証を有効にする
  • パスワードマネージャーを使用して、複数のサービス間でVPN認証情報を再利用することを避ける
  • もはや使用していないVPNアカウントやデバイスを定期的に監査し、削除する
  • 企業システムを管理している場合は、VPNログインの異常を他のあらゆる侵入アラートと同様に真剣に扱う
  • 認証情報ベースの攻撃傾向について常に情報を得ておく。侵害されたVPN認証情報による攻撃は、しばしば精巧なエクスプロイトと同じくらいの損害をもたらしながら、はるかに少ない注目しか集めないからである