Для чого саме використовуються ці zero-day вразливості SonicWall SMA?

Вони експлуатуються для отримання повного root-доступу на скомпрометованих пристроях SMA та встановлення спеціального шкідливого ПЗ, перетворюючи пристрої на плацдарми для подальшого вторгнення.

Що можуть робити зловмисники, отримавши root-доступ до пристрою SMA?

Вони можуть перехоплювати або змінювати трафік, збирати облікові дані віддалених користувачів, вимикати журналювання, встановлювати стійке шкідливе ПЗ та проникати глибше в підключені корпоративні мережі.

Кого зачіпають ці атаки?

Будь-яка організація, що використовує пристрої SonicWall SMA для віддаленого доступу, — включаючи малий бізнес, великі підприємства, віддалених співробітників, підрядників та ІТ-персонал, — може мати скомпрометовані облікові дані та дані.

Як довго ці вразливості активно експлуатувалися?

Zero-day вразливості активно експлуатувалися щонайменше з 22 червня, що дало зловмисникам значний час для дій, перш ніж кампанію було викрито.

Чи свідчить розгортання спеціального шкідливого ПЗ про щось стосовно зловмисників?

Так, це вказує на цілеспрямовані, добре забезпечені ресурсами зусилля, зосереджені на підтриманні довготривалого доступу до мережі, а не просто на опортуністичних атаках типу «викрасти та втекти».

Zero-day вразливості SonicWall SMA використовуються для встановлення спеціального шкідливого ПЗ

Zero-day вразливості SonicWall тепер пов’язані з розгортанням спеціального шкідливого ПЗ

Нові звіти підтвердили те, чого боялися команди безпеки: дві zero-day вразливості SonicWall SMA, які активно експлуатуються, використовуються не просто для проникнення в мережі, а для отримання повного root-доступу та встановлення спеціального шкідливого ПЗ на скомпрометовані пристрої. Це свідчить про ескалацію порівняно з попередніми етапами кампанії, на яких зловмисники зосереджувалися на отриманні початкового доступу до пристроїв SonicWall Secure Mobile Access (SMA).

Пристрої SMA є шлюзом, який багато компаній використовують для надання співробітникам віддаленого доступу до внутрішніх систем. Коли цей шлюз скомпрометовано на рівні root, він перестає бути засобом контролю безпеки і стає плацдармом для подальшого вторгнення. Спеціально створене шкідливе ПЗ, розгорнуте на цьому рівні доступу, виявити значно важче, ніж універсальні інструменти для експлойтів, оскільки воно створене спеціально для того, щоб зливатися зі скомпрометованим середовищем і залишатися непоміченим навіть після встановлення первинних патчів.

Що zero-day вразливості дозволяють робити зловмисникам

Root-доступ — це найвищий рівень привілеїв у системі. Щойно зловмисники отримують його на пристрої SMA, вони фактично повністю контролюють цей пристрій. Це означає, що вони можуть перехоплювати або змінювати трафік, який через нього проходить, збирати облікові дані будь-кого, хто підключається віддалено, вимикати журналювання, щоб приховати свої сліди, та встановлювати шкідливе ПЗ, яке переживає перезавантаження чи рутинне обслуговування. Цей останній звіт доповнює попереднє підтвердження того, що ці zero-day вразливості SonicWall SMA були активними з 22 червня, що дало зловмисникам значний час для дій, перш ніж захисники це помітили.

Той факт, що тепер у наборі інструментів з’явилося спеціально створене шкідливе ПЗ, свідчить про те, що це не випадкове сканування. Це вказує на цілеспрямовані, добре забезпечені ресурсами зусилля для підтримання довготривалого доступу всередині цільових мереж, а не просто на швидку крадіжку даних.

Хто під загрозою: компанії, віддалені працівники та їхні дані

Пристрої SMA знаходяться в центрі віддаленого доступу для багатьох малих і середніх компаній, а також для великих підприємств із розподіленим персоналом. Будь-хто, хто підключається через скомпрометований пристрій — співробітники, які входять із дому, підрядники, що отримують доступ до спільних систем, ІТ-персонал, який виконує обслуговування, — потенційно піддається ризику. Облікові дані, введені під час легітимного сеансу входу, можуть бути перехоплені. Файли, передані через пристрій, можуть бути переглянуті. А оскільки компрометація на рівні root дає зловмисникам видимість внутрішньої роботи пристрою, вони також можуть проникнути глибше в підключені корпоративні мережі.

Це не обмежується великими підприємствами. Менші організації, які покладаються на пристрої серії SMA1000 для економічно ефективного віддаленого доступу, так само вразливі, і часто мають менше ресурсів для виявлення прихованої компрометації на рівні root, перш ніж вона завдасть реальної шкоди. Попередні попередження про zero-day вразливості SonicWall SMA1000, які перебувають під активною атакою, спеціально підкреслювали цю невідкладність для організацій, що використовують цю лінійку продуктів.

Як вразливості корпоративного віддаленого доступу каскадно переростають у ризик для приватності споживачів

Виникає спокуса думати про вразливості на рівні пристроїв як про суто корпоративну ІТ-проблему, але реальність більш взаємопов’язана. Інструменти віддаленого доступу, такі як пристрої SMA, часто є точкою входу, через яку проходять дані співробітників і клієнтів — кадрові записи, фінансові системи, портали охорони здоров’я тощо. Коли зловмисники отримують root-доступ до самого пристрою, вони компрометують не просто частину мережевого обладнання; вони потенційно отримують плацдарм для доступу до персональних даних усіх, чия інформація проходить через системи, які захищає цей пристрій.

Це та сама схема, яка спостерігалася в інших недавніх інцидентах із SonicWall, включаючи повідомлення про zero-day вразливості, які експлуатувалися за тижні до виходу патча, та активність, приписувану суб’єкту загрози UTA0533, що експлуатує zero-day вразливості SonicWall SMA. Кожен випадок підкреслює, як одна непропатчена вада в корпоративній інфраструктурі віддаленого доступу може призвести до індивідуального ризику для приватності, що виходить далеко за межі ІТ-відділу, який керує пристроєм.

Що це означає для вас

Якщо ви працюєте віддалено і ваша організація використовує пристрої SonicWall SMA, варто безпосередньо поговорити з вашою ІТ-командою або командою безпеки. Запитайте, чи було пристрій пропатчено, чи було перевірено журнали на ознаки компрометації, та чи слід скинути облікові дані як запобіжний захід. Якщо ви керуєте малим бізнесом із пристроєм SMA1000, який обробляє віддалені входи, не припускайте, що минулий цикл виправлень охоплює цю нову хвилю експлуатації — компрометації на рівні root можуть зберігатися навіть після поверхневих виправлень.

Для звичайних користувачів головний висновок полягає не в паніці, а в усвідомленні: безпека інструментів, які використовує ваш роботодавець або постачальник послуг, безпосередньо впливає на безпеку ваших даних, навіть якщо ви ніколи не торкаєтеся самого пристрою.

Практичні висновки

Уточніть у вашої ІТ-команди, чи працюють пристрої SonicWall SMA вашої організації на останній пропатченій прошивці.
Якщо ви віддалений працівник, запитайте, чи рекомендується скидання облікових даних після цього розкриття.
Малі підприємства, які використовують пристрої SMA1000, повинні ставитися до цього як до активної, триваючої загрози, а не як до одноразової проблеми «виправив і забув».
Будьте в курсі офіційних рекомендацій SonicWall та незалежних досліджень безпеки, оскільки нові zero-day вразливості часто розкриваються поетапно, коли дослідники виявляють більше ланок ланцюжка атаки.

Такі zero-day вразливості SonicWall слугують нагадуванням, що інфраструктура віддаленого доступу є цінною територією для зловмисників, а своєчасне встановлення патчів — один із найпростіших, найефективніших доступних засобів захисту.