Nhiều tác nhân đe dọa, bao gồm cả các nhóm ransomware, đã khai thác một lỗ hổng nghiêm trọng trong cổng GlobalProtect của Palo Alto Networks, theo Cybersecurity Dive. Hoạt động ransomware khai thác lỗ hổng Palo Alto GlobalProtect là một lời nhắc nhở rõ ràng rằng các công cụ được xây dựng để ngăn người ngoài xâm nhập vào mạng có thể trở thành cửa trước cho kẻ tấn công.

Báo cáo nguồn khá ngắn gọn, và bài viết này chỉ bám sát những gì báo cáo xác nhận: lỗ hổng được đánh giá ở mức độ nghiêm trọng cao, nằm trong cổng GlobalProtect, và hiện có nhiều hơn một nhóm đang khai thác nó. Báo cáo không nêu mã định danh CVE hay mô tả chi tiết cơ chế kỹ thuật, vì vậy chúng tôi cũng không đưa ra những thông tin đó. Quản trị viên nên dựa vào khuyến cáo chính thức của nhà cung cấp để biết các chi tiết cụ thể này.

GlobalProtect là gì và tại sao lỗ hổng này lại quan trọng

GlobalProtect là giải pháp truy cập từ xa của Palo Alto Networks. Các tổ chức sử dụng nó để cho phép nhân viên kết nối với các tài nguyên nội bộ từ bên ngoài văn phòng, và cổng portal là thành phần mà người dùng và thiết bị tiếp cận đầu tiên. Vì nó phải có thể truy cập được từ internet, nên nó bị phơi bày theo thiết kế.

Chính sự phơi bày đó khiến một lỗ hổng nghiêm trọng trong thành phần này trở nên hấp dẫn đến vậy. Một gateway hoặc portal nằm ở ranh giới giữa internet công cộng và các hệ thống riêng tư. Nếu kẻ tấn công có thể lợi dụng nó, họ có thể bắt đầu cuộc xâm nhập của mình ngay khi đã ở bên trong vành đai bảo vệ, thường với ít cảnh báo hơn so với một chiến dịch lừa đảo phishing.

Cách các nhóm ransomware đang khai thác lỗ hổng

Chi tiết then chốt trong báo cáo là mức độ lan rộng của việc khai thác. Nhiều tác nhân đe dọa đang sử dụng lỗ hổng này, và các nhà điều hành ransomware nằm trong số đó. Khi một lỗ hổng chuyển từ một tác nhân sang nhiều tác nhân, điều đó thường có nghĩa là đường tấn công đủ đáng tin cậy để tái sử dụng và kiến thức khai thác đang lan rộng.

Đối với các nhóm ransomware, các thiết bị biên như cổng VPN có giá trị vì chúng mang lại một cách vào bypass phần lớn bảo mật endpoint ở sâu hơn trong mạng. Một khi đã vào bên trong, kẻ tấn công thường di chuyển để lập bản đồ môi trường, giành quyền truy cập rộng hơn, đánh cắp dữ liệu và triển khai mã hóa. Hồ sơ ransomware BlackCat/ALPHV cho thấy cách một nhóm tinh vi vận hành khi đã có chỗ đứng. Tương tự, khuyến cáo của FBI về ransomware Gunra mô tả một chiến dịch tống tiền kép, trong đó dữ liệu bị đánh cắp được dùng làm đòn bẩy cùng với mã hóa.

Bài báo nguồn không nói những nhóm ransomware nào có liên quan hay có bao nhiêu nạn nhân, vì vậy chúng tôi sẽ không suy đoán về cả hai điều này.

Quản trị viên IT nên làm gì ngay bây giờ: Vá lỗi và truy tìm dấu hiệu xâm nhập

Nếu tổ chức của bạn đang vận hành GlobalProtect, hãy coi đây là việc khẩn cấp. Các bước thực tế:

  • Áp dụng các bản sửa lỗi của nhà cung cấp. Kiểm tra các khuyến cáo bảo mật chính thức của Palo Alto Networks để tìm bản vá hoặc biện pháp giảm thiểu liên quan và áp dụng chúng càng sớm càng tốt.
  • Giả định rằng có thể đã bị phơi bày. Vá lỗi đóng cánh cửa nhưng không loại bỏ kẻ tấn công đã đi qua trước đó. Rà soát nhật ký để tìm các phiên VPN bất thường, đăng nhập từ những vị trí không mong đợi, hoặc tài khoản và thiết bị mới.
  • Truy tìm các chỉ dấu xâm nhập. Sử dụng các chỉ dấu do nhà cung cấp và các cơ quan an ninh công bố, và tìm các dấu hiệu di chuyển ngang từ mạng con VPN vào các hệ thống nội bộ.
  • Đặt lại thông tin xác thực khi cần thiết. Nếu bạn phát hiện hoạt động đáng ngờ, hãy xoay vòng mật khẩu và khóa cho các tài khoản đã tương tác với gateway.
  • Giảm phơi bày. Hạn chế ai có thể truy cập các giao diện quản trị và xác nhận rằng chỉ những dịch vụ bạn cần mới được công bố ra internet.
  • Kiểm tra bản sao lưu. Đảm bảo chúng còn mới, ngoại tuyến hoặc bất biến, và đã được kiểm thử, vì việc phục hồi sau ransomware phụ thuộc vào chúng.

Cổng VPN của bạn có phải là điểm lỗi duy nhất không?

Sự cố này đặt ra một câu hỏi thiết kế rộng hơn. Nếu một thiết bị duy nhất đối diện internet là rào cản duy nhất giữa kẻ tấn công và mạng nội bộ của bạn, thì một lỗ hổng duy nhất có thể phá hỏng rất nhiều khoản đầu tư khác.

Phân đoạn mạng giúp ích: một phiên VPN bị xâm phạm không nên có khả năng truy cập mọi thứ. Quyền truy cập tối thiểu hạn chế những gì bất kỳ tài khoản nào có thể làm, và giám sát hoạt động VPN để phát hiện bất thường rút ngắn khoảng thời gian giữa xâm nhập và phát hiện. Ransomware và hoạt động có liên hệ với nhà nước đều có xu hướng khai thác cùng một điểm yếu, cơ sở hạ tầng biên, như đã thấy trong cuộc tấn công của Iran vào hệ thống nước Minnesota, điều này cho thấy các đường truy cập từ xa bị phơi bày có thể quan trọng vượt xa khỏi các văn phòng doanh nghiệp.

Điều này có ý nghĩa gì với bạn

Nếu bạn là chuyên gia IT hoặc bảo mật đang sử dụng GlobalProtect, ưu tiên là vá lỗi và kiểm tra dấu hiệu xâm nhập ngay bây giờ, không phải vào cửa sổ bảo trì tiếp theo. Nếu bạn là nhân viên kết nối qua VPN của công ty, bạn không cần tự mình thay đổi bất cứ điều gì, nhưng bạn có thể hỏi nhóm IT xem gateway đã được cập nhật chưa và chú ý đến các lời nhắc đặt lại mật khẩu hoặc MFA bất ngờ.

Nếu bạn dùng VPN tiêu dùng thay vì gateway doanh nghiệp, báo cáo cụ thể này không nói về bạn. Bài học chung vẫn áp dụng: giữ phần mềm VPN được cập nhật, và sử dụng mật khẩu mạnh, duy nhất cùng xác thực đa yếu tố trên các tài khoản của bạn.

Những điểm chính cần ghi nhớ

  • Nhiều tác nhân đe dọa, bao gồm cả các nhóm ransomware, đang khai thác một lỗ hổng nghiêm trọng trong cổng GlobalProtect.
  • Vá lỗi theo hướng dẫn chính thức của Palo Alto Networks, sau đó truy tìm dấu hiệu cho thấy kẻ tấn công đã ở bên trong.
  • Phân đoạn mạng của bạn và hạn chế quyền để một gateway bị xâm phạm không làm lộ mọi thứ.
  • Xác minh bản sao lưu của bạn trước khi bạn cần đến chúng.

Hoạt động ransomware khai thác lỗ hổng Palo Alto GlobalProtect cho thấy quyền truy cập thiết bị biên có thể nhanh chóng biến thành tống tiền như thế nào. Để xem điều gì xảy ra sau chỗ đứng đầu tiên đó, hãy đọc hồ sơ BlackCat/ALPHV, rồi đi kiểm tra gateway của bạn.