Кілька суб'єктів загроз, зокрема угруповання програм-вимагачів, використали вразливість високого ступеня небезпеки в порталі GlobalProtect від Palo Alto Networks, повідомляє Cybersecurity Dive. Ця вразливість Palo Alto GlobalProtect і активність програм-вимагачів є промовистим нагадуванням про те, що інструменти, створені для того, щоб не пускати сторонніх у мережу, можуть стати вхідними дверима для зловмисників.

Оригінальний звіт короткий, і ця стаття дотримується лише того, що він підтверджує: вразливість оцінена як високого ступеня небезпеки, вона міститься в порталі GlobalProtect, і наразі її використовує більше ніж одна група. У ньому не названо ідентифікатор CVE і не деталізовано технічний механізм, тому ми цього також не робимо. Адміністраторам слід покладатися на власні рекомендації постачальника щодо цих деталей.

Що таке GlobalProtect і чому ця вразливість важлива

GlobalProtect — це рішення Palo Alto Networks для віддаленого доступу. Організації використовують його, щоб дозволити співробітникам підключатися до внутрішніх ресурсів ззовні офісу, і портал є компонентом, до якого користувачі та пристрої звертаються першими. Оскільки він має бути доступним з інтернету, він за своїм задумом є відкритим.

Саме ця відкритість робить вразливість високого ступеня небезпеки в цьому компоненті настільки привабливою. Шлюз або портал розташований на межі між публічним інтернетом і приватними системами. Якщо зловмисник може зловживати ним, він може розпочати вторгнення, вже перебуваючи всередині периметра, часто з меншою кількістю тривог, ніж викликала б фішингова кампанія.

Як угруповання програм-вимагачів використовують вразливість

Ключова деталь у звіті — це масштаб експлуатації. Кілька суб'єктів загроз використовують цю вразливість, і серед них є оператори програм-вимагачів. Коли вразливість переходить від одного суб'єкта до кількох, це зазвичай означає, що шлях атаки достатньо надійний для повторного використання і що знання про експлуатацію поширюються.

Для угруповань програм-вимагачів периферійні пристрої, як-от VPN-портали, є цінними, оскільки вони пропонують шлях усередину, який обходить значну частину захисту кінцевих точок глибше в мережі. Опинившись усередині, зловмисники зазвичай переходять до картографування середовища, отримання ширшого доступу, викрадення даних і розгортання шифрування. Профіль програм-вимагачів BlackCat/ALPHV показує, як діє досвідчене угруповання, коли воно вже має опору. Так само рекомендація ФБР щодо програми-вимагача Gunra описує операцію подвійного вимагання, де викрадені дані використовуються як важіль поряд із шифруванням.

У вихідній статті не вказано, які угруповання програм-вимагачів задіяні або скільки є жертв, тому ми не будемо робити припущень ні щодо одного, ні щодо іншого.

Що IT-адміністраторам робити зараз: патчити та шукати ознаки компрометації

Якщо ваша організація використовує GlobalProtect, сприймайте це як нагальну ситуацію. Практичні кроки:

  • Застосуйте виправлення постачальника. Перевірте офіційні рекомендації з безпеки Palo Alto Networks щодо відповідних патчів або пом'якшувальних заходів і застосуйте їх якомога швидше.
  • Припускайте, що вплив можливий. Патчинг закриває двері, але не усуває зловмисника, який уже пройшов крізь них. Перегляньте журнали на предмет незвичайних VPN-сесій, входів із неочікуваних локацій або нових облікових записів і пристроїв.
  • Шукайте індикатори компрометації. Використовуйте індикатори, опубліковані постачальником і агенціями з безпеки, і шукайте ознаки бічного переміщення з VPN-підмережі до внутрішніх систем.
  • Скидайте облікові дані, де це виправдано. Якщо ви виявите підозрілу активність, змініть паролі та ключі для облікових записів, які мали доступ до шлюзу.
  • Зменшуйте відкритість. Обмежте, хто може звертатися до інтерфейсів керування, і переконайтеся, що в інтернеті опубліковано лише ті сервіси, які вам потрібні.
  • Перевірте свої резервні копії. Переконайтеся, що вони свіжі, офлайн або незмінні та протестовані, оскільки відновлення після програм-вимагачів залежить від них.

Чи є ваш VPN-шлюз єдиною точкою відмови?

Цей інцидент порушує ширше питання архітектури. Якщо один пристрій, відкритий в інтернет, є єдиним бар'єром між зловмисниками та вашою внутрішньою мережею, одна вразливість може звести нанівець багато інших інвестицій.

Сегментація мережі допомагає: скомпрометована VPN-сесія не повинна мати змоги дістатися до всього. Доступ за принципом найменших привілеїв обмежує те, що може робити будь-який окремий обліковий запис, а моніторинг VPN-активності на предмет аномалій скорочує час між вторгненням і виявленням. Програми-вимагачі та активність, пов'язана з державами, обидві схильні використовувати ту саму слабку ланку — периферійну інфраструктуру, як видно з іранської атаки на системи водопостачання Міннесоти, що підкреслює, наскільки відкриті шляхи віддаленого доступу можуть мати значення далеко за межами корпоративних офісів.

Що це означає для вас

Якщо ви IT- або фахівець із безпеки, який використовує GlobalProtect, пріоритетом є патчинг і перевірка на компрометацію зараз, а не під час наступного вікна обслуговування. Якщо ви співробітник, який підключається через корпоративний VPN, вам не потрібно нічого змінювати самостійно, але ви можете запитати у своєї IT-команди, чи оновлено шлюз, і стежити за неочікуваними запитами на скидання пароля або запитами MFA.

Якщо ви використовуєте споживчий VPN, а не корпоративний шлюз, цей конкретний звіт не про вас. Загальний урок усе ще застосовний: тримайте програмне забезпечення VPN оновленим і використовуйте надійні унікальні паролі з багатофакторною автентифікацією для своїх облікових записів.

Ключові висновки

  • Кілька суб'єктів загроз, зокрема угруповання програм-вимагачів, використовують вразливість високого ступеня небезпеки в порталі GlobalProtect.
  • Патчте, використовуючи офіційні рекомендації Palo Alto Networks, а потім шукайте ознаки того, що зловмисники вже всередині.
  • Сегментуйте мережу та обмежуйте привілеї, щоб один скомпрометований шлюз не відкривав усе.
  • Перевіряйте свої резервні копії до того, як вони знадобляться.

Вразливість Palo Alto GlobalProtect і активність програм-вимагачів показують, як швидко доступ через периферійний пристрій може перетворитися на вимагання. Щоб побачити, що відбувається після першої опори, прочитайте профіль BlackCat/ALPHV, а потім перевірте свій шлюз.