Cybersecurity Dive'a göre, fidye yazılımı grupları da dahil olmak üzere birden fazla tehdit aktörü, Palo Alto Networks'ün GlobalProtect portalındaki yüksek önem dereceli bir açığı istismar etti. Palo Alto GlobalProtect açığına yönelik fidye yazılımı faaliyetleri, bir ağdan yabancıları uzak tutmak için geliştirilen araçların saldırganlar için ön kapı haline gelebileceğini çarpıcı bir şekilde hatırlatıyor.

Kaynak rapor kısa ve bu makale yalnızca onun doğruladığı bilgilere bağlı kalıyor: açık yüksek önem derecesinde, GlobalProtect portalında yer alıyor ve artık birden fazla grup tarafından istismar ediliyor. Rapor bir CVE tanımlayıcısı belirtmiyor veya teknik mekanizmayı ayrıntılandırmıyor, bu nedenle biz de belirtmiyoruz. Yöneticiler bu ayrıntılar için satıcının kendi danışma belgesine başvurmalıdır.

GlobalProtect Nedir ve Bu Açık Neden Önemlidir

GlobalProtect, Palo Alto Networks'ün uzaktan erişim çözümüdür. Kuruluşlar bunu çalışanların ofis dışından dahili kaynaklara bağlanmasına olanak tanımak için kullanır ve portal, kullanıcıların ve cihazların ilk ulaştığı bileşendir. İnternetten erişilebilir olması gerektiğinden, tasarımı gereği açıktadır.

Bu açıklık, bu bileşendeki yüksek önem dereceli bir açığı bu kadar cazip kılan şeydir. Bir ağ geçidi veya portal, genel internet ile özel sistemler arasındaki sınırda yer alır. Bir saldırgan bunu kötüye kullanabilirse, saldırısına halihazırda çevre savunmasının içinde başlayabilir ve genellikle bir kimlik avı kampanyasının tetikleyeceğinden daha az alarmla karşılaşır.

Fidye Yazılımı Grupları Açığı Nasıl İstismar Ediyor

Rapordaki kilit ayrıntı, istismarın genişliğidir. Birden fazla tehdit aktörü açığı kullanıyor ve fidye yazılımı operatörleri de bunlar arasında. Bir açık tek bir aktörden birkaçına geçtiğinde, bu genellikle saldırı yolunun yeniden kullanılabilecek kadar güvenilir olduğu ve istismar bilgisinin yayıldığı anlamına gelir.

Fidye yazılımı ekipleri için VPN portalları gibi uç cihazlar değerlidir çünkü ağın derinliklerindeki uç nokta güvenliğinin büyük bir kısmını atlayan bir giriş yolu sunarlar. İçeri girdikten sonra saldırganlar tipik olarak ortamı haritalamak, daha geniş erişim elde etmek, veri çalmak ve şifreleme dağıtmak için hareket eder. BlackCat/ALPHV fidye yazılımı profili, sofistike bir ekibin bir dayanak noktası elde ettikten sonra nasıl faaliyet gösterdiğini gösteriyor. Benzer şekilde, Gunra fidye yazılımına ilişkin FBI danışma belgesi, çalınan verilerin şifrelemenin yanı sıra koz olarak kullanıldığı bir çifte gasp operasyonunu tanımlıyor.

Kaynak makale hangi fidye yazılımı gruplarının dahil olduğunu veya kaç kurban olduğunu söylemiyor, bu nedenle ikisi hakkında da spekülasyon yapmayacağız.

BT Yöneticileri Şimdi Ne Yapmalı: Yama Uygulayın ve Ele Geçirme Belirtilerini Arayın

Kuruluşunuz GlobalProtect çalıştırıyorsa bunu acil olarak değerlendirin. Pratik adımlar:

  • Satıcının düzeltmelerini uygulayın. İlgili yamalar veya hafifletmeler için Palo Alto Networks'ün resmi güvenlik danışma belgelerini kontrol edin ve mümkün olan en kısa sürede uygulayın.
  • Maruz kalmanın mümkün olduğunu varsayın. Yama uygulamak kapıyı kapatır ancak zaten içeri girmiş bir saldırganı ortadan kaldırmaz. Günlükleri olağandışı VPN oturumları, beklenmedik konumlardan oturum açmalar veya yeni hesaplar ve cihazlar için inceleyin.
  • İhlal göstergelerini arayın. Satıcı ve güvenlik kurumları tarafından yayımlanan göstergeleri kullanın ve VPN alt ağından dahili sistemlere yanal hareket belirtileri arayın.
  • Gerektiğinde kimlik bilgilerini sıfırlayın. Şüpheli etkinlik bulursanız, ağ geçidine erişen hesapların parolalarını ve anahtarlarını değiştirin.
  • Maruziyeti azaltın. Yönetim arayüzlerine kimlerin erişebileceğini sınırlayın ve internete yalnızca ihtiyaç duyduğunuz hizmetlerin yayımlandığını doğrulayın.
  • Yedeklemelerinizi kontrol edin. Güncel, çevrimdışı veya değiştirilemez ve test edilmiş olduklarından emin olun, çünkü fidye yazılımı kurtarma onlara bağlıdır.

VPN Ağ Geçidiniz Tek Hata Noktası mı?

Bu olay daha geniş bir tasarım sorusunu gündeme getiriyor. İnternete açık tek bir cihaz, saldırganlar ile dahili ağınız arasındaki tek bariyersa, tek bir açık diğer birçok yatırımı boşa çıkarabilir.

Ağ segmentasyonu yardımcı olur: ele geçirilmiş bir VPN oturumu her şeye erişememelidir. En az ayrıcalık erişimi, herhangi bir hesabın neler yapabileceğini sınırlar ve VPN etkinliğini anormallikler için izlemek, izinsiz giriş ile tespit arasındaki süreyi kısaltır. Fidye yazılımı ve devlet bağlantılı etkinlikler, Minnesota su sistemlerine yönelik İran saldırısı örneğinde görüldüğü gibi, her ikisi de aynı zayıf noktayı, yani uç altyapısını istismar etme eğilimindedir; bu da açıkta kalan uzaktan erişim yollarının kurumsal ofislerin çok ötesinde ne kadar önemli olabileceğini vurgular.

Bu Sizin İçin Ne Anlama Geliyor

GlobalProtect kullanan bir BT veya güvenlik uzmanıysanız, öncelik bir sonraki bakım penceresinde değil, şimdi yama uygulamak ve ele geçirme olup olmadığını kontrol etmektir. Şirket VPN'i üzerinden bağlanan bir çalışansanız, kendiniz herhangi bir şeyi değiştirmeniz gerekmez, ancak BT ekibinize ağ geçidinin güncellenip güncellenmediğini sorabilir ve beklenmedik parola sıfırlama veya MFA istemlerine karşı dikkatli olabilirsiniz.

Kurumsal bir ağ geçidi yerine tüketici VPN'i kullanıyorsanız, bu özel rapor sizinle ilgili değildir. Genel ders yine de geçerlidir: VPN yazılımını güncel tutun ve hesaplarınızda çok faktörlü kimlik doğrulama ile güçlü, benzersiz parolalar kullanın.

Önemli Çıkarımlar

  • Fidye yazılımı grupları da dahil olmak üzere birden fazla tehdit aktörü, GlobalProtect portalındaki yüksek önem dereceli bir açığı istismar ediyor.
  • Palo Alto Networks'ün resmi rehberliğini kullanarak yama uygulayın, ardından saldırganların zaten içeride olup olmadığına dair belirtileri arayın.
  • Ağınızı segmentlere ayırın ve ayrıcalıkları sınırlayın, böylece ele geçirilmiş tek bir ağ geçidi her şeyi açığa çıkarmasın.
  • Yedeklemelerinizi ihtiyaç duymadan önce doğrulayın.

Palo Alto GlobalProtect açığına yönelik fidye yazılımı faaliyetleri, uç cihaz erişiminin ne kadar hızlı gasp girişimine dönüşebileceğini gösteriyor. Bu ilk dayanak noktasından sonra neler olduğunu görmek için BlackCat/ALPHV profilini okuyun, ardından gidip ağ geçidinizi kontrol edin.