SonicWall a emis un avertisment urgent că atacatorii exploatează în mod activ vulnerabilități de tip zero-day din linia sa de echipamente de acces la distanță securizat SMA1000, compania descriind unele dintre defecte ca fiind extrem de critice. O corecție rapidă (hotfix) este acum disponibilă, împreună cu indicatori de compromitere (IOC) pe care echipele IT îi pot folosi pentru a verifica dacă sistemele lor au fost deja vizate.

Dacă organizația dumneavoastră se bazează pe echipamentele SMA1000 de la SonicWall pentru a permite angajaților să se conecteze în siguranță la rețelele interne, acesta nu este un anunț pe care să-l puneți deoparte pentru mai târziu. Prin definiție, vulnerabilitățile de tip zero-day erau deja exploatate înainte ca o corecție să existe, ceea ce înseamnă că atacatorii ar putea avea deja o poziție în medii vulnerabile.

Ce s-a întâmplat cu vulnerabilitatea zero-day SonicWall SMA1000

Avertismentul SonicWall confirmă că actori ai amenințărilor au exploatat vulnerabilități necunoscute anterior din echipamentele SMA1000, gateway-urile hardware și virtuale pe care multe organizații de dimensiuni medii și mari le folosesc pentru a gestiona accesul securizat la distanță pentru angajați, contractori și parteneri. Deoarece aceste echipamente stau la perimetrul rețelei și se ocupă de autentificarea utilizatorilor la distanță, o compromitere cu succes le poate oferi atacatorilor o cale directă către sistemele interne, ocolind multe dintre măsurile de protecție pe care organizațiile presupun că sunt implementate.

SonicWall a lansat o corecție rapidă pentru a închide golurile identificate, împreună cu IOC-uri pe care echipele de securitate le pot căuta în jurnale și traficul de rețea pentru a stabili dacă a avut loc deja o intruziune. Limbajul companiei, care descrie unele dintre vulnerabilități drept „höchst kritisch” (extrem de critice), semnalează că acesta nu este un ciclu obișnuit de actualizări. Este un răspuns la atacuri confirmate din lumea reală.

Nu este prima dată când produsele SonicWall sunt prinse într-o campanie de exploatare activă. La începutul acestui an, cercetătorii au documentat cum atacatorii au înlănțuit vulnerabilități SonicWall necunoscute anterior pentru a obține acces mai profund cu câteva săptămâni înainte ca o corecție să devină disponibilă. Acel incident anterior este un memento util că infrastructura de acces la distanță a devenit o țintă preferată pentru atacatori tocmai pentru că un singur echipament compromis poate expune întreaga rețea corporativă.

De ce echipamentele de acces la distanță sunt ținte de mare valoare

Echipamentele SMA1000 există pentru a rezolva o problemă reală de afaceri: permit forței de muncă distribuite să se conecteze la resursele companiei fără a expune fiecare sistem intern direct pe internet. Acest confort vine însă cu un compromis. Aceste echipamente sunt concepute să fie orientate către internet, autentifică un număr mare de utilizatori și, adesea, au un grad ridicat de încredere în interiorul rețelei interne odată ce o sesiune este stabilită.

Pentru atacatori, această combinație este atractivă. În loc să încerce să spargă zeci de sisteme interne individuale, compromiterea gateway-ului de acces la distanță oferă un singur punct de intrare cu o acoperire largă. Acesta este un tipar mai larg în industria VPN și a accesului securizat, unde aceleași caracteristici care fac posibilă munca la distanță — disponibilitatea continuă, autentificarea centralizată și încrederea în rețeaua internă — fac, de asemenea, ca aceste sisteme să merite vizate atunci când se descoperă o vulnerabilitate.

Faptul că SonicWall publică IOC-uri odată cu corecția rapidă sugerează că compania a observat deja suficiente atacuri reale pentru a identifica modele pe care apărătorii le pot căuta. Este un semnal semnificativ: nu este un risc teoretic, ci unul cu un istoric documentat de exploatare în medii reale.

Ce înseamnă acest lucru pentru dumneavoastră

Cei mai mulți dintre cei care citesc acest text nu vor gestiona personal un echipament SonicWall SMA1000, dar mulți se bazează indirect pe unul de fiecare dată când se conectează la un VPN al companiei sau la un portal de acces la distanță de acasă sau din deplasare. Dacă angajatorul dumneavoastră folosește SonicWall pentru accesul la distanță, este justificat să adresați echipei IT sau de securitate câteva întrebări directe: A fost aplicată corecția rapidă? Au fost verificate jurnalele în raport cu IOC-urile publicate? Există vreun indiciu că anumite conturi, inclusiv al dumneavoastră, ar fi putut fi afectate?

Dacă sunteți un profesionist IT sau proprietar de afacere responsabil de echipamentele SMA1000, prioritatea este clară: aplicați imediat corecția rapidă SonicWall, apoi examinați IOC-urile în raport cu propriul mediu, fără a presupune că actualizarea rezolvă de la sine orice compromitere anterioară. Exploatarea zero-day înseamnă adesea că atacatorii au avut acces înainte ca o corecție să existe, astfel încât aplicarea corecției închide ușa pe viitor, dar nu anulează nimic din ceea ce s-ar fi putut întâmpla deja.

Pentru toți ceilalți, acesta este un memento oportun că securitatea configurației de lucru la distanță depinde în mare măsură de o infrastructură pe care nu o controlați direct. Utilizarea de parole puternice și unice, activarea autentificării multi-factor acolo unde este oferită și rămânerea vigilentă la solicitările de conectare neobișnuite sau la comportamentul anormal al sesiunii sunt obiceiuri mici care adaugă o dificultate reală pentru atacatori, chiar și atunci când infrastructura de bază are o vulnerabilitate.

Măsuri practice

Organizațiile care utilizează echipamente SonicWall SMA1000 ar trebui să aplice corecția rapidă fără întârziere și să compare IOC-urile publicate cu jurnalele proprii. Angajații ar trebui să confirme cu departamentele IT că actualizarea a fost efectuată, mai ales dacă folosesc SMA1000 pentru accesul la distanță. Toți cei care se conectează la distanță ar trebui să păstreze autentificarea multi-factor activată și să raporteze imediat orice solicitare de autentificare neașteptată. Având în vedere tiparul vulnerabilităților SonicWall exploatate înainte de apariția corecțiilor, tratarea securității accesului la distanță ca pe o prioritate continuă, nu ca pe o sarcină de configurare unică, rămâne cea mai fiabilă apărare.