卡巴斯基将3个攻击集群与窃取的VPN登录凭证关联

被盗VPN凭证如何成为勒索软件和擦除器的入口

卡巴斯基发布了新研究，识别出针对俄罗斯企业的三个不同威胁集群，而贯穿所有集群的共同线索因其简单性而令人不安：被攻陷的VPN凭证。据称，这些行动背后的攻击者并非仅依赖零日漏洞或复杂的恶意软件开发，而是利用窃取或滥用的VPN登录信息，从企业网络的正门长驱直入。随后，他们部署了后门、勒索软件和破坏性擦除恶意软件的混合组合。

这一模式反映了安全研究人员一直在整个行业中标记的更广泛趋势。被攻陷的VPN凭证攻击不需要新型漏洞利用的复杂性。它只需要一组有效的用户名和密码，而这些通常通过网络钓鱼、撞库或从地下市场购买获得。一旦攻击者获得该访问权限，原本用于将外部人员拒之门外的VPN就会变成一条直通网络的受信任隧道，并与合法的远程员工流量难以区分。

三个威胁集群揭示了企业VPN安全的哪些缺口

根据卡巴斯基的发现，这三个集群各自追求不同的最终目标，从建立持久后门访问，到加密数据以索取赎金，再到部署纯粹用于破坏系统而非获取付款的擦除器。将它们联系在一起的并不是共享工具或归属于同一组织，而是相同的初始访问方法：本不应被外部人员使用的VPN凭证。

这种重叠很重要。它表明，俄罗斯企业与其他地方的组织一样，正面临同样的结构性弱点：VPN访问通常被视为一次性身份验证事件，而不是持续监控的信任关系。一旦某组凭证有效，许多VPN配置就会授予广泛的网络访问权限，而没有额外验证、分段或行为监控。利用这一缺口的攻击者不需要传统意义上的突破防火墙。他们只需要一个尚未轮换、未被标记或未受多因素认证保护的密码。

与引人注目的泄露事件相比，这种基于凭证的入侵往往会避开雷达。正如最近一篇关于俄罗斯Zimbra间谍活动和Stadler Rail勒索事件的综述所报道的那样，许多最具后果的攻击从未登上头条新闻，尽管它们依赖的是卡巴斯基报告中所见的同样基础设施层面的弱点。基于凭证和访问权限的攻击经常被低报，恰恰因为它们缺乏单一戏剧性漏洞利用的那种轰动效应，但它们的破坏性同样巨大。