SonicWall SMA: luki zero-day wykorzystywane do wdrażania niestandardowego złośliwego oprogramowania

Luki zero-day w SonicWall powiązane z wdrażaniem niestandardowego złośliwego oprogramowania

Nowe doniesienia potwierdziły to, czego obawiały się zespoły bezpieczeństwa: dwie luki zero-day w SonicWall SMA, aktywnie wykorzystywane na wolności, służą nie tylko do włamywania się do sieci, ale są używane do uzyskiwania pełnego dostępu root i instalowania niestandardowego złośliwego oprogramowania na przejętych urządzeniach. Oznacza to eskalację w stosunku do wcześniejszych faz kampanii, gdzie atakujący koncentrowali się głównie na uzyskaniu początkowego dostępu do urządzeń SonicWall Secure Mobile Access (SMA).

Urządzenia SMA są bramą, z której korzysta wiele firm, aby umożliwić pracownikom zdalne łączenie się z systemami wewnętrznymi. Gdy ta brama zostanie przejęta na poziomie root, przestaje pełnić funkcję zabezpieczenia, a staje się przyczółkiem do dalszych włamań. Niestandardowe złośliwe oprogramowanie wdrożone na tym poziomie dostępu jest często znacznie trudniejsze do wykrycia niż generyczne narzędzia exploitacyjne, ponieważ jest tworzone specjalnie po to, by wtopić się w zaatakowane środowisko i przetrwać nawet po zastosowaniu początkowych poprawek.

Co luki zero-day umożliwiają atakującym

Dostęp root to najwyższy poziom uprawnień w systemie. Gdy atakujący uzyskają go na urządzeniu SMA, praktycznie stają się jego właścicielami. Oznacza to, że mogą przechwytywać lub manipulować ruchem przechodzącym przez urządzenie, wykradać dane logowania od każdej osoby łączącej się zdalnie, wyłączać rejestrowanie zdarzeń, aby zatrzeć ślady, oraz instalować złośliwe oprogramowanie, które przetrwa ponowne uruchomienia czy rutynową konserwację. Te najnowsze doniesienia opierają się na wcześniejszych informacjach potwierdzających, że luki zero-day w SonicWall SMA były aktywne od 22 czerwca, co dało atakującym znaczące okno czasowe na działanie, zanim obrońcy zorientowali się w sytuacji.

Fakt, że w zestawie narzędzi znajduje się teraz niestandardowe złośliwe oprogramowanie, sugeruje, że nie jest to przypadkowe skanowanie. Wskazuje to na celowy, dobrze zasobny wysiłek mający na celu utrzymanie długoterminowego dostępu wewnątrz atakowanych sieci, a nie tylko szybką kradzież danych.

Kto jest dotknięty: firmy, pracownicy zdalni i ich dane

Urządzenia SMA znajdują się w centrum zdalnego dostępu dla wielu małych i średnich firm, a także większych przedsiębiorstw z rozproszoną siłą roboczą. Każdy, kto łączy się przez przejęte urządzenie – pracownicy logujący się z domu, kontrahenci uzyskujący dostęp do współdzielonych systemów, personel IT wykonujący prace konserwacyjne – jest potencjalnie narażony. Dane logowania wprowadzone podczas legalnej sesji mogą zostać przechwycone. Pliki przesyłane przez urządzenie mogą być przeglądane. A ponieważ przejęcie na poziomie root daje atakującym wgląd w wewnętrzne działanie urządzenia, mogą oni również przemieszczać się w głąb połączonych sieci korporacyjnych.

Nie dotyczy to tylko dużych przedsiębiorstw. Mniejsze organizacje, które polegają na urządzeniach serii SMA1000 w celu zapewnienia opłacalnego zdalnego dostępu, są tak samo narażone i często dysponują mniejszymi zasobami, aby wykryć ukryte przejęcie na poziomie root, zanim wyrządzi ono realne szkody. Poprzednie alerty dotyczące aktywnych ataków na luki zero-day w SonicWall SMA1000 wyraźnie podkreślały pilność działań dla organizacji korzystających z tej linii produktów.

Jak luki w korporacyjnym dostępie zdalnym przekładają się na ryzyko dla prywatności konsumentów

Kuszące jest myślenie o lukach na poziomie urządzeń jako o problemie wyłącznie działów IT w firmach, ale rzeczywistość jest znacznie bardziej powiązana. Narzędzia dostępu zdalnego, takie jak urządzenia SMA, często są punktem wejścia, przez który przepływają dane pracowników i klientów, systemy kadrowe, finansowe, portale opieki zdrowotnej i wiele innych. Gdy atakujący uzyskują dostęp root do samego urządzenia, nie przejmują tylko kawałka sprzętu sieciowego – potencjalnie zdobywają przyczółek umożliwiający dotarcie do danych osobowych każdego, czyje informacje przechodzą przez systemy chronione przez to urządzenie.

To ten sam schemat, który zaobserwowano w innych niedawnych incydentach związanych z SonicWall, w tym w doniesieniach o lukach zero-day wykorzystywanych na tygodnie przed udostępnieniem poprawki oraz o aktywności przypisywanej grupie UTA0533 wykorzystującej luki zero-day w SonicWall SMA. Każdy przypadek podkreśla, jak pojedyncza niezałatana luka w korporacyjnej infrastrukturze zdalnego dostępu może rozprzestrzenić się na ryzyko dla prywatności jednostek, daleko poza dział IT zarządzający urządzeniem.

Co to oznacza dla Ciebie

Jeśli pracujesz zdalnie, a Twoja organizacja korzysta z urządzeń SonicWall SMA, warto bezpośrednio porozmawiać z zespołem IT lub bezpieczeństwa. Zapytaj, czy urządzenie zostało załatane, czy przejrzano logi pod kątem oznak włamania i czy należy profilaktycznie zresetować dane logowania. Jeśli prowadzisz małą firmę, w której urządzenie SMA1000 obsługuje logowania zdalne, nie zakładaj, że poprzedni cykl poprawek obejmuje tę nową falę exploitacji – kompromitacja na poziomie root może przetrwać nawet po zastosowaniu powierzchownych poprawek.

Dla zwykłych użytkowników przesłanie nie polega na panice, lecz na świadomości: bezpieczeństwo narzędzi, z których korzysta Twój pracodawca lub dostawca usług, ma bezpośredni wpływ na bezpieczeństwo Twoich danych, nawet jeśli sam nigdy nie dotykasz tego urządzenia.

Praktyczne zalecenia

• Ustal z zespołem IT, czy urządzenia SonicWall SMA w Twojej organizacji działają na najnowszym załatanym oprogramowaniu sprzętowym.
• Jeśli pracujesz zdalnie, zapytaj, czy zalecane jest zresetowanie danych logowania po tym ujawnieniu.
• Małe firmy korzystające z urządzeń SMA1000 powinny traktować to jako aktywne, trwające zagrożenie, a nie jednorazowy problem do załatania i zapomnienia.
• Śledź oficjalne komunikaty SonicWall i niezależne doniesienia bezpieczeństwa, ponieważ nowe luki zero-day są często ujawniane etapami, w miarę jak badacze odkrywają kolejne elementy łańcucha ataku.

Tego rodzaju luki zero-day w SonicWall przypominają, że infrastruktura zdalnego dostępu jest dla atakujących celem o wysokiej wartości, a bieżące aktualizowanie poprawek to jedna z najprostszych i najskuteczniejszych dostępnych form obrony.