Несколько субъектов угроз, включая группы программы-вымогателя, эксплуатировали уязвимость высокой степени опасности на портале GlobalProtect от Palo Alto Networks, сообщает Cybersecurity Dive. Активность программы-вымогателя, связанная с уязвимостью Palo Alto GlobalProtect, — это наглядное напоминание о том, что инструменты, созданные для того, чтобы не пускать посторонних в сеть, могут стать входной дверью для злоумышленников.

Исходный отчёт краток, и эта статья придерживается того, что он подтверждает: уязвимость имеет высокую степень опасности, она находится на портале GlobalProtect, и теперь её эксплуатирует более одной группы. В нём не называется идентификатор CVE и не описывается технический механизм, поэтому мы этого тоже не делаем. Администраторам следует обращаться за этими подробностями к собственному рекомендательному документу поставщика.

Что такое GlobalProtect и почему эта уязвимость важна

GlobalProtect — это решение Palo Alto Networks для удалённого доступа. Организации используют его, чтобы сотрудники могли подключаться к внутренним ресурсам извне офиса, и портал — это компонент, к которому пользователи и устройства обращаются первыми. Поскольку он должен быть доступен из интернета, он подвержен риску по своей конструкции.

Именно эта подверженность делает уязвимость высокой степени опасности в этом компоненте такой привлекательной. Шлюз или портал находится на границе между публичным интернетом и частными системами. Если злоумышленник сможет злоупотребить им, он может начать вторжение, уже находясь внутри периметра, зачастую с меньшим количеством тревог, чем вызвала бы фишинговая кампания.

Как группы программы-вымогателя эксплуатируют уязвимость

Ключевая деталь в отчёте — широта эксплуатации. Уязвимость используют несколько субъектов угроз, и среди них есть операторы программ-вымогателей. Когда уязвимость переходит от одного субъекта к нескольким, это обычно означает, что путь атаки достаточно надёжен для повторного использования и что знания об эксплуатации распространяются.

Для группировок программ-вымогателей пограничные устройства, такие как VPN-порталы, ценны тем, что предлагают путь внутрь, обходящий большую часть защиты конечных точек в глубине сети. Оказавшись внутри, злоумышленники обычно переходят к картографированию среды, получению более широкого доступа, краже данных и развёртыванию шифрования. Профиль программы-вымогателя BlackCat/ALPHV показывает, как действует изощрённая группировка, получив опору. Аналогично, рекомендация ФБР о программе-вымогателе Gunra описывает операцию двойного вымогательства, где украденные данные используются как рычаг наряду с шифрованием.

В исходной статье не говорится, какие группы программы-вымогателя involved или сколько жертв, поэтому мы не будем строить предположения ни о том, ни о другом.

Что ИТ-администраторам следует делать сейчас: установить патчи и искать признаки компрометации

Если ваша организация использует GlobalProtect, отнеситесь к этому как к срочному вопросу. Практические шаги:

  • Примените исправления поставщика. Проверьте официальные рекомендации по безопасности Palo Alto Networks на предмет соответствующих патчей или мер mitigation и примените их как можно скорее.
  • Исходите из того, что подверженность возможна. Установка патча закрывает дверь, но не удаляет злоумышленника, который уже прошёл через неё. Проверьте журналы на предмет необычных VPN-сессий, входов из неожиданных мест или новых учётных записей и устройств.
  • Ищите индикаторы компрометации. Используйте индикаторы, опубликованные поставщиком и агентствами по безопасности, и ищите признаки бокового перемещения из VPN-подсети во внутренние системы.
  • Сбросьте учётные данные, где это оправдано. Если вы обнаружите подозрительную активность, смените пароли и ключи для учётных записей, которые взаимодействовали со шлюзом.
  • Сократите подверженность. Ограничьте, кто может обращаться к интерфейсам управления, и убедитесь, что в интернет опубликованы только необходимые вам сервисы.
  • Проверьте резервные копии. Убедитесь, что они свежие, офлайн или неизменяемые и протестированные, поскольку восстановление после программы-вымогателя зависит от них.

Является ли ваш VPN-шлюз единой точкой отказа?

Этот инцидент поднимает более широкий вопрос проектирования. Если одно устройство, обращённое в интернет, является единственным барьером между злоумышленниками и вашей внутренней сетью, одна уязвимость может свести на нет многие другие инвестиции.

Помогает сегментация сети: скомпрометированная VPN-сессия не должна иметь возможность добраться до всего. Доступ с наименьшими привилегиями ограничивает то, что может делать любая отдельная учётная запись, а мониторинг VPN-активности на предмет аномалий сокращает время между вторжением и обнаружением. Программы-вымогатели и активность, связанная с государствами, обе склонны эксплуатировать одну и ту же слабую точку — пограничную инфраструктуру, как видно из иранской атаки на водные системы Миннесоты, что подчёркивает, насколько подверженные пути удалённого доступа могут иметь значение далеко за пределами корпоративных офисов.

Что это значит для вас

Если вы ИТ- или специалист по безопасности, использующий GlobalProtect, приоритет — установить патч и проверить на компрометацию сейчас, а не в следующее окно обслуживания. Если вы сотрудник, подключающийся через корпоративный VPN, вам самим ничего менять не нужно, но вы можете спросить свою ИТ-команду, обновлён ли шлюз, и следить за неожиданными запросами сброса пароля или MFA.

Если вы используете потребительский VPN, а не корпоративный шлюз, этот конкретный отчёт не о вас. Общий урок всё равно применим: держите программное обеспечение VPN обновлённым и используйте надёжные уникальные пароли с многофакторной аутентификацией для своих учётных записей.

Ключевые выводы

  • Несколько субъектов угроз, включая группы программы-вымогателя, эксплуатируют уязвимость высокой степени опасности на портале GlobalProtect.
  • Установите патч, используя официальные рекомендации Palo Alto Networks, затем ищите признаки того, что злоумышленники уже внутри.
  • Сегментируйте сеть и ограничивайте привилегии, чтобы один скомпрометированный шлюз не раскрывал всё.
  • Проверяйте резервные копии до того, как они понадобятся.

Активность программы-вымогателя, связанная с уязвимостью Palo Alto GlobalProtect, показывает, как быстро доступ через пограничное устройство может превратиться в вымогательство. Чтобы увидеть, что происходит после первой опоры, прочитайте профиль BlackCat/ALPHV, затем пойдите и проверьте свой шлюз.