ข้อมูลรับรอง VPN ที่ถูกขโมยกลายเป็นจุดเข้าสำหรับแรนซัมแวร์และไวเปอร์ได้อย่างไร

Kaspersky ได้เผยแพร่งานวิจัยใหม่ที่ระบุกลุ่มภัยคุกคามที่แตกต่างกันสามกลุ่มซึ่งมุ่งเป้าไปที่องค์กรในรัสเซีย และด้ายเส้นเดียวกันที่เชื่อมโยงทั้งหมดนั้นน่าหวาดเสียวในความเรียบง่ายของมัน: ข้อมูลรับรอง VPN ที่ถูกบุกรุก แทนที่จะพึ่งพาเฉพาะช่องโหว่แบบ zero-day หรือการพัฒนามัลแวร์ที่ซับซ้อน ผู้โจมตีที่อยู่เบื้องหลังแคมเปญเหล่านี้ถูกกล่าวหาว่าใช้รายละเอียดการเข้าสู่ระบบ VPN ที่ถูกขโมยหรือถูกนำไปใช้ในทางที่ผิดเพื่อเดินผ่านประตูหน้าของเครือข่ายองค์กร จากนั้นพวกเขาจึงติดตั้งส่วนผสมของแบ็กดอร์ แรนซัมแวร์ และมัลแวร์ไวเปอร์ที่ทำลายล้าง

รูปแบบนี้สะท้อนถึงแนวโน้มที่กว้างขึ้นซึ่งนักวิจัยด้านความปลอดภัยได้ชี้ให้เห็นทั่วทั้งอุตสาหกรรม การโจมตีด้วยข้อมูลรับรอง VPN ที่ถูกบุกรุกไม่จำเป็นต้องมีความซับซ้อนของการใช้ช่องโหว่ใหม่ มันต้องการเพียงชื่อผู้ใช้และรหัสผ่านที่ถูกต้องหนึ่งชุด ซึ่งมักได้มาจากฟิชชิง การยัดข้อมูลรับรอง หรือการซื้อจากตลาดมืด เมื่อผู้โจมตีมีการเข้าถึงนั้นแล้ว VPN ที่ออกแบบมาเพื่อกีดกันคนนอกกลับกลายเป็นอุโมงค์ที่เชื่อถือได้ตรงเข้าสู่เครือข่าย ซึ่งแยกไม่ออกจากทราฟฟิกของพนักงานรีโมทที่ถูกต้องตามกฎหมาย

สิ่งที่สามกลุ่มภัยคุกคามเปิดเผยเกี่ยวกับช่องโหว่ด้านความปลอดภัย VPN ขององค์กร

ตามการค้นพบของ Kaspersky แต่ละกลุ่มในสามกลุ่มมีเป้าหมายสุดท้ายที่แตกต่างกัน ตั้งแต่การสร้างการเข้าถึงแบบแบ็กดอร์อย่างต่อเนื่อง ไปจนถึงการเข้ารหัสข้อมูลเพื่อเรียกค่าไถ่ ไปจนถึงการติดตั้งไวเปอร์ที่ออกแบบมาเพียงเพื่อทำลายระบบแทนที่จะเรียกเงิน สิ่งที่เชื่อมโยงพวกเขาเข้าด้วยกันไม่ใช่เครื่องมือที่ใช้ร่วมกันหรือการระบุตัวตนว่าเป็นกลุ่มเดียวกัน แต่เป็นวิธีการเข้าถึงเริ่มต้นที่ใช้ร่วมกัน: ข้อมูลรับรอง VPN ที่ไม่ควรจะสามารถใช้งานได้โดยคนนอกตั้งแต่แรก

การทับซ้อนกันนี้สำคัญ มันบ่งชี้ว่าองค์กรในรัสเซียเช่นเดียวกับองค์กรในที่อื่นๆ กำลังเผชิญกับจุดอ่อนเชิงโครงสร้างเดียวกัน: การเข้าถึง VPN มักถูกมองว่าเป็นเหตุการณ์การรับรองความถูกต้องครั้งเดียว มากกว่าความสัมพันธ์ของความเชื่อใจที่ต้องมีการตรวจสอบอย่างต่อเนื่อง เมื่อชุดข้อมูลรับรองใช้ได้ การกำหนดค่า VPN จำนวนมากให้การเข้าถึงเครือข่ายในวงกว้างโดยไม่มีการตรวจสอบเพิ่มเติม การแบ่งส่วน หรือการตรวจสอบพฤติกรรม ผู้โจมตีที่ใช้ประโยชน์จากช่องว่างนี้ไม่จำเป็นต้องเจาะไฟร์วอลล์ในความหมายดั้งเดิม พวกเขาเพียงต้องการรหัสผ่านที่ยังไม่ถูกเปลี่ยน ธง หรือป้องกันด้วยการรับรองหลายปัจจัย

การบุกรุกที่ใช้ข้อมูลรับรองแบบนี้มักหลบเลี่ยงเรดาร์เมื่อเทียบกับการละเมิดที่พาดหัวข่าว ตามที่กล่าวไว้ในสรุปรวมเหตุการณ์จารกรรม Zimbra ของรัสเซียและการกรรโชก Stadler Rail การโจมตีที่มีผลกระทบมากที่สุดหลายครั้งไม่เคยขึ้นข่าวหน้าแรก แม้ว่าพวกมันจะพึ่งพาจุดอ่อนระดับโครงสร้างพื้นฐานเดียวกันกับที่เห็นในรายงานของ Kaspersky การโจมตีที่ใช้ข้อมูลรับรองและการเข้าถึงมักถูกรายงานน้อยกว่าความเป็นจริง precisely เพราะขาดความดราม่าของช่องโหว่ที่น่าตื่นเต้นเพียงหนึ่งเดียว แต่พวกมันก็สร้างความเสียหายได้พอๆ กัน

แนวปฏิบัติด้านสุขอนามัยข้อมูลรับรองที่ป้องกันการบุกรุกผ่าน VPN

ข่าวดีก็คือ การโจมตีด้วยข้อมูลรับรอง VPN ที่ถูกบุกรุกเป็นหนึ่งในประเภทการบุกรุกที่ป้องกันได้มากกว่า หากองค์กรปฏิบัติต่อการเข้าถึง VPN ด้วยความเข้มงวดเช่นเดียวกับระบบที่มีสิทธิพิเศษอื่นๆ แนวปฏิบัติบางประการลดความเสี่ยงนี้ได้อย่างสม่ำเสมอ:

  • บังคับใช้การรับรองหลายปัจจัยในการเข้าสู่ระบบ VPN ทุกครั้ง ไม่ใช่เฉพาะบัญชีผู้ดูแลระบบ
  • เปลี่ยนข้อมูลรับรองเป็นประจำและทันทีหลังเหตุการณ์ฟิชชิงที่สงสัย
  • ตรวจสอบบันทึก VPN สำหรับการเข้าสู่ระบบจากตำแหน่ง อุปกรณ์ หรือเวลาที่ผิดปกติซึ่งเบี่ยงเบนไปจากพฤติกรรมปกติของพนักงาน
  • แบ่งส่วนการเข้าถึงเครือข่ายเพื่อให้การเข้าสู่ระบบ VPN ครั้งเดียวไม่ให้การเคลื่อนไหวในวงกว้างและไม่มีข้อจำกัดทั่วระบบภายใน
  • เลิกใช้บัญชี VPN ที่ไม่ได้ใช้หรือไม่ได้ใช้งานทันที เนื่องจากข้อมูลรับรองที่ถูกลืมมักเป็นสิ่งที่ผู้โจมตีพบว่าถูกใช้ประโยชน์ได้ง่ายที่สุด

ไม่มีมาตรการใดที่แปลกใหม่ พวกมันเป็นแนวปฏิบัติมาตรฐานด้านการจัดการตัวตนและการเข้าถึงที่องค์กรหลายแห่งรู้อยู่แล้วแต่ล้มเหลวในการบังคับใช้อย่างสม่ำเสมอ โดยเฉพาะในสภาพแวดล้อมการทำงานทางไกลที่การใช้ VPN ขยายตัวอย่างรวดเร็วในปีที่ผ่านมา

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

ผู้อ่านส่วนใหญ่ของไซต์นี้ไม่ได้บริหารโครงสร้างพื้นฐาน VPN ระดับองค์กร แต่บทเรียนจากงานวิจัยของ Kaspersky นำไปใช้กับการใช้ VPN ส่วนตัวได้โดยตรงเช่นกัน หากคุณใช้รหัสผ่านซ้ำข้ามบริการ ข้ามการรับรองหลายปัจจัย หรือเก็บบัญชี VPN เก่าที่คุณไม่ใช้แล้ว คุณก็เสี่ยงต่อจุดอ่อนพื้นฐานเดียวกันกับที่เปิดทางให้สามกลุ่มภัยคุกคามเหล่านี้เข้าสู่เครือข่ายองค์กรรัสเซีย VPN จะปลอดภัยเท่ากับข้อมูลรับรองที่ปกป้องมันเท่านั้น

สำหรับธุรกิจ รายงานนี้เป็นเครื่องเตือนใจว่าความปลอดภัย VPN ไม่ใช่เครื่องมือ "ตั้งค่าแล้วลืม" มันต้องการการจัดการข้อมูลรับรองเชิงรุก การตรวจสอบ และการทบทวนเป็นระยะ โดยเฉพาะเมื่อการทำงานทางไกลและแบบผสมยังคงพึ่งพาการเข้าถึง VPN อย่างหนักสำหรับการดำเนินงานประจำวัน

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • เปิดใช้การรับรองหลายปัจจัยบนบัญชี VPN ใดก็ตามที่คุณใช้ ทั้งส่วนตัวหรือในงาน
  • ใช้โปรแกรมจัดการรหัสผ่านเพื่อหลีกเลี่ยงการใช้ข้อมูลรับรอง VPN ซ้ำข้ามหลายบริการ
  • ตรวจสอบและลบบัญชีหรืออุปกรณ์ VPN ที่คุณไม่ใช้แล้วเป็นประจำ
  • หากคุณบริหารระบบองค์กร ให้ปฏิบัติต่อความผิดปกติในการเข้าสู่ระบบ VPN อย่างจริงจังเช่นเดียวกับการแจ้งเตือนการบุกรุกอื่นๆ
  • ติดตามข้อมูลเกี่ยวกับแนวโน้มการโจมตีที่ใช้ข้อมูลรับรอง เนื่องจากการโจมตีด้วยข้อมูลรับรอง VPN ที่ถูกบุกรุกมักสร้างความเสียหายได้มากเท่ากับช่องโหว่ที่ซับซ้อน โดยมีเสียงปรบมือน้อยกว่ามาก