กลุ่มผู้ไม่หวังดีหลายกลุ่ม รวมถึงกลุ่มแรนซัมแวร์ ได้ใช้ประโยชน์จากช่องโหว่ระดับความรุนแรงสูงในพอร์ทัล GlobalProtect ของ Palo Alto Networks ตามรายงานของ Cybersecurity Dive กิจกรรมแรนซัมแวร์ที่เกี่ยวข้องกับช่องโหว่ Palo Alto GlobalProtect นี้เป็นเครื่องเตือนใจที่ชัดเจนว่าเครื่องมือที่สร้างขึ้นเพื่อกันคนนอกออกจากเครือข่ายสามารถกลายเป็นประตูหน้าสำหรับผู้โจมตีได้

รายงานต้นทางนั้นกระชับ และบทความนี้ยึดตามสิ่งที่รายงานยืนยันเท่านั้น คือ ช่องโหว่นี้ได้รับการจัดระดับความรุนแรงสูง ตั้งอยู่ในพอร์ทัล GlobalProtect และขณะนี้มีมากกว่าหนึ่งกลุ่มที่ใช้ประโยชน์จากมัน รายงานไม่ได้ระบุหมายเลข CVE หรือรายละเอียดกลไกทางเทคนิค ดังนั้นเราจึงไม่ระบุเช่นกัน ผู้ดูแลระบบควรอ้างอิงประกาศอย่างเป็นทางการของผู้จำหน่ายสำหรับรายละเอียดเหล่านั้น

GlobalProtect คืออะไร และทำไมช่องโหว่นี้จึงสำคัญ

GlobalProtect คือโซลูชันการเข้าถึงระยะไกลของ Palo Alto Networks องค์กรต่างๆ ใช้มันเพื่อให้พนักงานเชื่อมต่อกับทรัพยากรภายในจากนอกสำนักงาน และพอร์ทัลคือองค์ประกอบที่ผู้ใช้และอุปกรณ์เข้าถึงเป็นอันดับแรก เนื่องจากมันต้องเข้าถึงได้จากอินเทอร์เน็ต จึงถูกเปิดเผยโดยการออกแบบ

การเปิดเผยนั้นคือสิ่งที่ทำให้ช่องโหว่ระดับความรุนแรงสูงในองค์ประกอบนี้เป็นที่น่าสนใจมาก เกตเวย์หรือพอร์ทัลตั้งอยู่ที่ขอบเขตระหว่างอินเทอร์เน็ตสาธารณะและระบบส่วนตัว หากผู้โจมตีสามารถใช้ประโยชน์จากมันได้ พวกเขาอาจเริ่มการบุกรุกโดยที่อยู่ภายใน périmètre แล้ว ซึ่งมักมีสัญญาณเตือนน้อยกว่าที่แคมเปญฟิชชิงจะกระตุ้น

กลุ่มแรนซัมแวร์ใช้ประโยชน์จากช่องโหว่อย่างไร

รายละเอียดสำคัญในรายงานคือขอบเขตของการใช้ประโยชน์ มีกลุ่มผู้ไม่หวังดีหลายกลุ่มที่ใช้ช่องโหว่นี้ และมีผู้ปฏิบัติการแรนซัมแวร์รวมอยู่ด้วย เมื่อช่องโหว่เปลี่ยนจากกลุ่มเดียวไปสู่หลายกลุ่ม มักหมายความว่าเส้นทางการโจมตีนั้นเชื่อถือได้พอที่จะนำกลับมาใช้ซ้ำ และความรู้เกี่ยวกับการใช้ประโยชน์กำลังแพร่กระจาย

สำหรับทีมแรนซัมแวร์ อุปกรณ์ปลายขอบอย่างพอร์ทัล VPN นั้นมีค่าเพราะพวกมันมีช่องทางเข้าที่ข้ามการรักษาความปลอดภัย endpoint ส่วนใหญ่ที่อยู่ลึกกว่าในเครือข่าย เมื่ออยู่ภายในแล้ว ผู้โจมตีมักจะเคลื่อนที่เพื่อสำรวจสภาพแวดล้อม ได้รับการเข้าถึงในวงกว้างขึ้น ขโมยข้อมูล และติดตั้งการเข้ารหัส โปรไฟล์แรนซัมแวร์ BlackCat/ALPHV แสดงให้เห็นว่าทีมที่มีความซับซ้อนดำเนินการอย่างไรเมื่อมีฐานที่มั่น ในทำนองเดียวกัน ประกาศของ FBI เกี่ยวกับแรนซัมแวร์ Gunra อธิบายถึงปฏิบัติการกรรโชกสองชั้น ซึ่งข้อมูลที่ถูกขโมยถูกใช้เป็นเครื่องต่อรองควบคู่ไปกับการเข้ารหัส

บทความต้นทางไม่ได้ระบุว่ากลุ่มแรนซัมแวร์ใดเกี่ยวข้องหรือมีเหยื่อจำนวนเท่าใด ดังนั้นเราจะไม่คาดเดาทั้งสองอย่าง

สิ่งที่ผู้ดูแลระบบ IT ควรทำตอนนี้: แพตช์และค้นหาการบุกรุก

หากองค์กรของคุณใช้งาน GlobalProtect ให้ถือเรื่องนี้เป็นเรื่องเร่งด่วน ขั้นตอนที่ปฏิบัติได้จริง:

  • ใช้การแก้ไขของผู้จำหน่าย ตรวจสอบประกาศความปลอดภัยอย่างเป็นทางการของ Palo Alto Networks สำหรับแพตช์หรือมาตรการบรรเทาที่เกี่ยวข้อง และนำไปใช้โดยเร็วที่สุด
  • สันนิษฐานว่าการเปิดเผยนั้นเป็นไปได้ การแพตช์ปิดประตูแต่ไม่ได้กำจัดผู้โจมตีที่เข้ามาแล้ว ตรวจสอบบันทึกสำหรับเซสชัน VPN ที่ผิดปกติ การเข้าสู่ระบบจากตำแหน่งที่ไม่คาดคิด หรือบัญชีและอุปกรณ์ใหม่
  • ค้นหาตัวบ่งชี้การบุกรุก ใช้ตัวบ่งชี้ที่เผยแพร่โดยผู้จำหน่ายและหน่วยงานความปลอดภัย และมองหาสัญญาณของการเคลื่อนที่ในแนวนอนจากซับเน็ต VPN เข้าสู่ระบบภายใน
  • รีเซ็ตข้อมูลประจำตัวเมื่อเหมาะสม หากคุณพบกิจกรรมที่น่าสงสัย ให้หมุนเวียนรหัสผ่านและคีย์สำหรับบัญชีที่เกี่ยวข้องกับเกตเวย์
  • ลดการเปิดเผย จำกัดว่าใครสามารถเข้าถึงอินเทอร์เฟซการจัดการได้ และยืนยันว่าเฉพาะบริการที่คุณต้องการเท่านั้นที่เผยแพร่สู่อินเทอร์เน็ต
  • ตรวจสอบข้อมูลสำรองของคุณ ตรวจสอบให้แน่ใจว่าข้อมูลสำรองนั้นเป็นข้อมูลล่าสุด ออฟไลน์หรือไม่สามารถแก้ไขได้ และผ่านการทดสอบแล้ว เนื่องจากการกู้คืนจากแรนซัมแวร์ขึ้นอยู่กับข้อมูลเหล่านั้น

เกตเวย์ VPN ของคุณเป็นจุดล้มเหลวจุดเดียวหรือไม่?

เหตุการณ์นี้ก่อให้เกิดคำถามเชิงการออกแบบที่กว้างขึ้น หากอุปกรณ์ที่หันหน้าสู่อินเทอร์เน็ตเพียงเครื่องเดียวเป็นปราการเดียวระหว่างผู้โจมตีและเครือข่ายภายในของคุณ ช่องโหว่เพียงช่องเดียวก็สามารถทำลายการลงทุนอื่นๆ มากมายได้

การแบ่งส่วนเครือข่ายช่วยได้: เซสชัน VPN ที่ถูกบุกรุกไม่ควรสามารถเข้าถึงทุกสิ่งได้ การเข้าถึงแบบสิทธิ์ต่ำสุดจำกัดสิ่งที่บัญชีใดบัญชีหนึ่งสามารถทำได้ และการตรวจสอบกิจกรรม VPN สำหรับความผิดปกติจะย่นระยะเวลาระหว่างการบุกรุกและการตรวจจับ ทั้งแรนซัมแวร์และกิจกรรมที่เชื่อมโยงกับรัฐมักใช้ประโยชน์จากจุดอ่อนเดียวกัน คือ โครงสร้างพื้นฐานปลายขอบ ดังที่เห็นในการโจมตีของอิหร่านต่อระบบน้ำในมินนิโซตา ซึ่งเน้นให้เห็นว่าเส้นทางการเข้าถึงระยะไกลที่เปิดเผยนั้นสามารถมีความสำคัญได้ไกลเกินกว่าสำนักงานองค์กร

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นผู้เชี่ยวชาญด้าน IT หรือความปลอดภัยที่ใช้ GlobalProtect สิ่งสำคัญคือการแพตช์และตรวจสอบการบุกรุกตอนนี้ ไม่ใช่ในหน้าต่างบำรุงรักษาครั้งถัดไป หากคุณเป็นพนักงานที่เชื่อมต่อผ่าน VPN ของบริษัท คุณไม่จำเป็นต้องเปลี่ยนแปลงสิ่งใดด้วยตัวเอง แต่คุณสามารถถามทีม IT ของคุณว่าเกตเวย์ได้รับการอัปเดตแล้วหรือไม่ และระวังการรีเซ็ตรหัสผ่านหรือการแจ้งเตือน MFA ที่ไม่คาดคิด

หากคุณใช้ VPN สำหรับผู้บริโภคแทนเกตเวย์ขององค์กร รายงานเฉพาะนี้ไม่ได้เกี่ยวกับคุณ บทเรียนทั่วไปยังคงใช้ได้: อัปเดตซอฟต์แวร์ VPN อยู่เสมอ และใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกันพร้อมการตรวจสอบสิทธิ์หลายปัจจัยบนบัญชีของคุณ

ประเด็นสำคัญ

  • กลุ่มผู้ไม่หวังดีหลายกลุ่ม รวมถึงกลุ่มแรนซัมแวร์ กำลังใช้ประโยชน์จากช่องโหว่ระดับความรุนแรงสูงในพอร์ทัล GlobalProtect
  • แพตช์โดยใช้คำแนะนำอย่างเป็นทางการของ Palo Alto Networks จากนั้นค้นหาสัญญาณว่าผู้โจมตีอยู่ภายในแล้ว
  • แบ่งส่วนเครือข่ายและจำกัดสิทธิ์เพื่อให้เกตเวย์ที่ถูกบุกรุกหนึ่งเครื่องไม่เปิดเผยทุกสิ่ง
  • ตรวจสอบข้อมูลสำรองของคุณก่อนที่คุณจะต้องการมัน

กิจกรรมแรนซัมแวร์ที่เกี่ยวข้องกับช่องโหว่ Palo Alto GlobalProtect แสดงให้เห็นว่าการเข้าถึงอุปกรณ์ปลายขอบสามารถเปลี่ยนเป็นการกรรโชกได้เร็วเพียงใด หากต้องการดูว่าเกิดอะไรขึ้นหลังจากฐานที่มั่นแรกนั้น โปรดอ่านโปรไฟล์ BlackCat/ALPHV แล้วไปตรวจสอบเกตเวย์ของคุณ