Хакерські угруповання-вимагачі націлилися на вразливості VPN Palo Alto та Fortinet

Знайома тенденція стає серйозною: вразливості VPN-програм-вимагачів активно використовуються

Вважається, що VPN — це замкнені парадні двері корпоративної мережі. Але дедалі частіше саме ці двері зловмисники зламують першими. Дослідники безпеки, які відстежують активність програм-вимагачів, виявили кампанії, цілеспрямовано націлені на вразливості в системах безпеки від Palo Alto, Fortinet, Citrix і Check Point — чотирьох найпоширеніших постачальників корпоративних VPN та мережевої безпеки на ринку. Ця закономірність підкреслює зростаючу тенденцію того, як кіберзлочинці отримують початкову точку опори в корпоративних мережах: не тільки через фішингові листи чи викрадені паролі, а через самі пристрої, які мають забезпечувати безпеку віддалених підключень.

Це не історія про одну компанію чи один продукт. Це сигнал, що вразливості VPN-програм-вимагачів стали бажаною поверхнею для атаки в усій галузі, незалежно від репутації постачальника чи частки ринку.

На яких постачальників VPN націлені атаки та чому

Palo Alto, Fortinet, Citrix і Check Point продають пристрої VPN та мережевої безпеки, що знаходяться на межі корпоративної інфраструктури, саме там, де підключаються віддалені працівники, підрядники та партнери. Це розташування робить їх цінними та помітними цілями. Ці пристрої за своєю конструкцією є публічно доступними, тобто зловмисникам не потрібно обманом змушувати когось натискати шкідливе посилання. Їм просто потрібно знайти систему з вразливим, невиправленим програмним забезпеченням і підключитися до неї безпосередньо.

Привабливість для операторів програм-вимагачів очевидна. Одна-єдина вразливість у VPN-шлюзі потенційно може надати доступ до всієї внутрішньої мережі, оминаючи багаторівневий захист, який організації часто будують навколо безпеки електронної пошти та кінцевих точок. Замість того, щоб пробиратися через скомпрометований ноутбук, зловмисники можуть пройти через шлюз, який мав бути найнадійнішим контрольним пунктом.

Як невиправлені вразливості VPN стають точкою входу для програм-вимагачів

Механіка цих кампаній досить однакова. У продукті VPN виявляється вразливість — чи то через дослідження безпеки, розкриття постачальника або зворотний інжиніринг патчу. Угруповання програм-вимагачів та брокери доступу, які з ними працюють, швидко сканують інтернет у пошуках організацій, які все ще використовують вразливу версію. Щойно ціль визначено, вразливість використовується для отримання точки опори, часто з правами адміністративного доступу, всередині мережі.

Далі сценарій знайомий: зловмисники переміщуються латерально між системами, визначають цінні дані, за можливості вимикають резервне копіювання та розгортають програми-вимагачі для шифрування файлів, одночасно викрадаючи конфіденційну інформацію для додаткового тиску. Весь ланцюжок — від вразливого VPN до повного компрометації мережі — може відбутися швидше, ніж багато ІТ-команд готові реагувати, особливо якщо цикли виправлення відстають від розкриття постачальників.

Особливе занепокоєння викликає те, що VPN-пристрої часто сприймаються як інфраструктура типу «налаштував і забув». Після налаштування вони можуть не отримувати такої ж регулярної перевірки, як ноутбуки працівників чи хмарні облікові записи, що робить їх привабливою сліпою зоною для зловмисників, які точно знають, куди дивитися.

Реальна ціна, коли витоки через VPN розкривають особисті дані

Коли порушення, пов’язане з VPN, призводить до успішної атаки програми-вимагача, наслідки виходять далеко за межі технічного простою. Організації, які зберігають особисті, фінансові чи медичні дані, стикаються з додатковим тягарем зобов’язань згідно із законами про конфіденційність, повідомлень про витік даних і регуляторного контролю після того, як зловмисники отримали доступ до внутрішніх систем.

Яскравою ілюстрацією цих подальших наслідків є випадок з Ірландії, де HSE оштрафували на 300 000 євро після атаки програми-вимагача на лікарню Талламор. Цей випадок показує, як одне успішне проникнення в мережу може перерости у значні фінансові штрафи та тривалу репутаційну шкоду ще довго після виявлення та локалізації первісного витоку. Це нагадування, що вартість невиправленого VPN вимірюється не лише вимогами викупу чи простоєм, а й регуляторними штрафами та підривом суспільної довіри, коли особисті дані опиняються під загрозою витоку.

Що це означає для вас

Якщо ваша організація покладається на VPN-пристрої від будь-якого великого постачальника, зокрема Palo Alto, Fortinet, Citrix або Check Point, ця тенденція є прямим закликом переглянути ваші практики управління виправленнями. Вразливості VPN-програм-вимагачів не розрізняють розмір компанії. Малі підприємства та великі корпорації однаково стають цілями залежно від того, чи є їхні системи незахищеними та невиправленими, а не від їхньої відомості.

Для окремих користувачів та ІТ-адміністраторів меседж однаковий: VPN-інфраструктура потребує такої ж ретельної уваги до безпеки, як і будь-яка інша критично важлива система, не менше.

Що окремим особам та компаніям слід перевірити щодо безпеки своїх VPN

Кілька практичних кроків можуть суттєво зменшити вразливість до цих кампаній:

• Переконайтеся, що всі VPN-пристрої та прошивки використовують останні виправлення, надані постачальником, і підпишіться на рекомендації з безпеки від вашого VPN-провайдера, щоб не пропустити оновлення.
• Проведіть аудит того, які інтерфейси управління VPN безпосередньо доступні з інтернету, і обмежте доступ, де це можливо, за допомогою сегментації мережі або білих списків.
• Увімкніть багатофакторну автентифікацію для всіх VPN-облікових записів, оскільки доступ на основі облікових даних часто є резервним методом, який використовують зловмисники поряд із експлуатацією програмного забезпечення.
• Перегляньте журналювання та моніторинг на VPN-шлюзах, щоб завчасно виявляти незвичні шаблони входу або зміни конфігурації.
• Майте план реагування на інциденти спеціально для порушень, пов’язаних із VPN, оскільки випадок зі штрафом HSE після атаки програми-вимагача показує, як швидко витік з мережі може перерости в проблему конфіденційності даних і фінансову проблему.

Угруповання програм-вимагачів продовжуватимуть полювати на наступну невиправлену вразливість VPN, тому що це працює. Щоб випередити вразливості VPN-програм-вимагачів, потрібно ставитися до оновлень виправлень, контролю доступу та моніторингу як до постійних пріоритетів, а не як до разових завдань налаштування. Вжити цих заходів зараз — це значно більш прийнятна інвестиція, ніж боротися з наслідками витоку пізніше.