Jak skradzione dane uwierzytelniające do VPN stały się punktem wejścia dla ransomware i wiperów

Kaspersky opublikował nowe badania identyfikujące trzy odrębne klastry zagrożeń wymierzone w rosyjskie przedsiębiorstwa, a wspólny wątek łączący je wszystkie jest niepokojący w swojej prostocie: skompromitowane dane uwierzytelniające do VPN. Zamiast polegać wyłącznie na exploitach zero-day lub złożonym tworzeniu złośliwego oprogramowania, stojący za tymi kampaniami atakujący mieli rzekomo wykorzystywać skradzione lub niewłaściwie użyte dane logowania do VPN, aby wejść głównym wejściem do sieci korporacyjnych. Stamtąd wdrażali mieszankę backdoorów, ransomware i niszczycielskiego złośliwego oprogramowania typu wiper.

Ten wzorzec odzwierciedla szerszy trend, na który badacze bezpieczeństwa zwracają uwagę w całej branży. Atak z wykorzystaniem skompromitowanych danych uwierzytelniających do VPN nie wymaga wyrafinowania nowatorskiego exploitu. Wymaga jedynie jednej ważnej nazwy użytkownika i hasła, często uzyskanych poprzez phishing, credential stuffing lub zakup na nielegalnych rynkach. Gdy atakujący uzyska taki dostęp, VPN zaprojektowany, by trzymać obcych na zewnątrz, staje się zaufanym tunelem prowadzącym prosto do sieci, nieodróżnialnym od legalnego ruchu zdalnego pracownika.

Co trzy klastry zagrożeń ujawniają o lukach w bezpieczeństwie VPN w przedsiębiorstwach

Według ustaleń Kaspersky'ego każdy z trzech klastrów dążył do innych celów końcowych, od ustanowienia trwałego dostępu przez backdoor, przez szyfrowanie danych dla okupu, po wdrażanie wiperów zaprojektowanych wyłącznie do niszczenia systemów, a nie do wyłudzania płatności. Tym, co je łączy, nie są wspólne narzędzia ani przypisanie do jednej grupy, lecz wspólna metoda początkowego dostępu: dane uwierzytelniające do VPN, które nigdy nie powinny być użyteczne dla osoby z zewnątrz.

Ta zbieżność ma znaczenie. Sugeruje, że rosyjskie przedsiębiorstwa, podobnie jak organizacje w innych miejscach, borykają się z tą samą strukturalną słabością: dostęp przez VPN jest często traktowany jako jednorazowe zdarzenie uwierzytelnienia, a nie stale monitorowana relacja zaufania. Gdy zestaw danych uwierzytelniających jest ważny, wiele konfiguracji VPN przyznaje szeroki dostęp do sieci bez dodatkowej weryfikacji, segmentacji czy monitorowania behawioralnego. Atakujący wykorzystujący tę lukę nie muszą w tradycyjnym sensie przełamywać zapory sieciowej. Potrzebują jedynie hasła, które nie zostało zmienione, oznaczone flagą ani chronione uwierzytelnianiem wieloskładnikowym.

Ten rodzaj intruzji opartej na danych uwierzytelniających często pozostaje niezauważony w porównaniu z przyciągającymi nagłówki naruszeniami. Jak omówiono w niedawnym podsumowaniu rosyjskiego szpiegostwa Zimbra i incydentów wymuszenia Stadler Rail, wiele z najbardziej brzemiennych w skutki ataków nigdy nie trafia na pierwsze strony gazet, mimo że opiera się na tych samych słabościach na poziomie infrastruktury widocznych w raporcie Kaspersky'ego. Ataki oparte na danych uwierzytelniających i dostępie są często niedostatecznie raportowane właśnie dlatego, że brak im dramatyzmu pojedynczego spektakularnego exploitu, ale są równie szkodliwe.

Praktyki higieny danych uwierzytelniających, które zapobiegają naruszeniom przez VPN

Dobra wiadomość jest taka, że atak z wykorzystaniem skompromitowanych danych uwierzytelniających do VPN należy do kategorii intruzji, którym można stosunkowo łatwo zapobiec, pod warunkiem że organizacje traktują dostęp przez VPN z taką samą rygorystycznością jak każdy inny system uprzywilejowany. Kilka praktyk konsekwentnie zmniejsza to ryzyko:

  • Wymuszaj uwierzytelnianie wieloskładnikowe przy każdym logowaniu do VPN, nie tylko dla kont administratorów
  • Regularnie zmieniaj dane uwierzytelniające, a natychmiast po każdym podejrzanym incydencie phishingowym
  • Monitoruj logi VPN pod kątem logowań z nietypowych lokalizacji, urządzeń lub o nietypowych porach odbiegających od normalnych zachowań pracowników
  • Segmentuj dostęp do sieci, aby pojedyncze logowanie do VPN nie przyznawało szerokiego, nieograniczonego przemieszczania się po systemach wewnętrznych
  • Niezwłocznie likwiduj nieużywane lub uśpione konta VPN, ponieważ zapomniane dane uwierzytelniające są często tymi, które atakujący najłatwiej wykorzystują

Żaden z tych środków nie jest egzotyczny. To standardowe praktyki zarządzania tożsamością i dostępem, o których wiele organizacji już wie, ale których nie egzekwuje konsekwentnie, zwłaszcza w środowiskach pracy zdalnej, gdzie użycie VPN gwałtownie wzrosło w ostatnich latach.

Co to oznacza dla Ciebie

Większość czytelników tej strony nie zarządza korporacyjną infrastrukturą VPN, ale lekcja płynąca z badań Kaspersky'ego odnosi się równie bezpośrednio do osobistego korzystania z VPN. Jeśli używasz tych samych haseł w różnych usługach, pomijasz uwierzytelnianie wieloskładnikowe lub zachowujesz stare konta VPN, których już nie używasz, jesteś narażony na tę samą fundamentalną słabość, która wpuściła te trzy klastry zagrożeń do rosyjskich sieci korporacyjnych. VPN jest tak bezpieczny, jak chroniące go dane uwierzytelniające.

Dla firm ten raport jest przypomnieniem, że bezpieczeństwo VPN nie jest narzędziem typu „skonfiguruj i zapomnij". Wymaga aktywnego zarządzania danymi uwierzytelniającymi, monitorowania i okresowego przeglądu, zwłaszcza że praca zdalna i hybrydowa w dalszym ciągu w dużym stopniu opiera się na dostępie przez VPN w codziennych operacjach.

Praktyczne wnioski

  • Włącz uwierzytelnianie wieloskładnikowe na każdym koncie VPN, którego używasz, prywatnym lub służbowym
  • Korzystaj z menedżera haseł, aby uniknąć ponownego używania danych uwierzytelniających do VPN w wielu usługach
  • Regularnie audytuj i usuwaj konta VPN lub urządzenia, których już nie używasz
  • Jeśli zarządzasz systemami korporacyjnymi, traktuj anomalie logowania do VPN tak poważnie jak każde inne ostrzeżenie o intruzji
  • Bądź na bieżąco z trendami ataków opartych na danych uwierzytelniających, ponieważ atak z wykorzystaniem skompromitowanych danych uwierzytelniających do VPN często powoduje tyle samo szkód co wyrafinowany exploit, przy znacznie mniejszym rozgłosie