Η SonicWall προειδοποιεί τους διαχειριστές ότι πρόσφατες επιθέσεις brute force στην υπηρεσία API του firewall για cloud backup ενδέχεται να έχουν εκθέσει backup configuration files, που αποθηκεύονται στο cloud portal της.
Επηρεάζονται τα firewalls της SonicWall με preference files που έχουν γίνει backed up στο MySonicWall.com portal των πελατών.
Σε απάντηση, η πρόσβαση στη δυνατότητα δημιουργίας αντιγράφων ασφαλείας έχει απενεργοποιηθεί και οι διαχειριστές καλούνται να απενεργοποιήσουν ή να περιορίσουν την πρόσβαση στην υπηρεσία SSLVPN και στο Web/SSH Management μέσω του WAN. Επιπλέον, πρέπει να επαναφέρουν τους κωδικούς πρόσβασης, τα κλειδιά και τα μυστικά του firewall.
Οι κωδικοί πρόσβασης και τα κλειδιά μπορεί να χρειαστεί να αλλάξουν και αλλού, όπως: στον πάροχο υπηρεσιών διαδικτύου του οργανισμού, στον πάροχο dynamic DNS, στον πάροχο email, στο remote IPSec VPN peer ή στον LDAP/RADIUS server. Η SonicWall προσφέρει πλήρεις οδηγίες στον ιστότοπό της.
Εάν ένας πελάτης έχει χρησιμοποιήσει τη δυνατότητα δημιουργίας αντιγράφων ασφαλείας στο cloud αλλά δεν υπάρχουν σειριακοί αριθμοί στον λογαριασμό του MySonicWall, η SonicWall θα παρέχει επιπλέον οδηγίες τις επόμενες ημέρες.
Δείτε επίσης: Το XillenStealer βασισμένο σε Python επιτίθεται σε χρήστες Windows
Η SonicWall δήλωσε ότι «λιγότερο από το 5% του firewall install base μας είχε backup firewall preference files αποθηκευμένα στο cloud». Ανέφερε ότι έχει 500.000 πελάτες, αλλά δεν είναι όλοι συνδρομητές στα firewalls της. Ωστόσο, και πάλι, η εκτίμηση του 5% θα μπορούσε να μεταφραστεί σε χιλιάδες οργανισμούς.
“Ενώ τα αρχεία περιείχαν κρυπτογραφημένους κωδικούς πρόσβασης, περιελάμβαναν επίσης πληροφορίες που θα μπορούσαν να διευκολύνουν τους επιτιθέμενους να εκμεταλλευτούν πιθανά τα firewalls”, δήλωσε η SonicWall.
“Η κατοχή του αντιγράφου ασφαλείας είναι σαν ένα θησαυροφυλάκιο κομματιών παζλ που μπορείτε να συνθέσετε για να δείτε το security posture και τη γενική πρόσβαση στο δίκτυο της συσκευής που δημιουργήθηκε αντίγραφο ασφαλείας“, προειδοποίησε ο Kellman Meghu, αρχιτέκτονας ασφαλείας στην καναδική εταιρεία αντιμετώπισης περιστατικών DeepCove Cybersecurity.
«Όχι ransomware» λέει η SonicWall
Μέχρι σήμερα, η εταιρεία δεν έχει βρει στοιχεία που να αποδεικνύουν ότι αυτά τα αρχεία έχουν διαρρεύσει στο διαδίκτυο από κακόβουλους παράγοντες.
«Αυτό δεν ήταν ένα περιστατικό ransomware ή κάτι παρόμοιο», ανέφερε η ανακοίνωση. «Αντίθετα, αυτό ήταν μια σειρά επιθέσεων brute force ανά λογαριασμό, με στόχο την απόκτηση πρόσβασης στα preference files που αποθηκεύονται σε αντίγραφα ασφαλείας για πιθανή περαιτέρω χρήση από κακόβουλους παράγοντες».
Δείτε επίσης: Πάνω από 40.000 κυβερνοεπιθέσεις στοχεύουν περιβάλλοντα API
Οι χρήστες του MySonicWall.com portal θα πρέπει να συνδεθούν και να ελέγξουν εάν είναι ενεργοποιημένα τα cloud configuration backups. Οι σειριακοί αριθμοί των επηρεαζόμενων συσκευών παρατίθενται για όσους χρησιμοποιούν τη δυνατότητα, οπότε το portal κάθε πελάτη θα επισημαίνεται με ένα information banner.
Η προειδοποίηση της Τετάρτης έρχεται μετά από αυτές αρκετών εθνικών αρχών κυβερνοασφάλειας που προειδοποίησαν ότι η συμμορία ransomware Akira εκμεταλλεύεται τα firewalls της SonicWall που δεν έχουν εγκαταστήσει μια ενημέρωση του 2024 για μια κρίσιμη ευπάθεια.
☁️ Κρατήστε ασφαλή αντίγραφα με Proton Drive
Κρυπτογραφημένος cloud αποθηκευτικός χώρος από την Proton — προστατέψτε τα αρχεία σας από ransomware, βλάβες και απώλεια δεδομένων, με end-to-end κρυπτογράφηση.
- ✔ End-to-end κρυπτογραφημένα αρχεία & αντίγραφα
- ✔ Ιστορικό εκδόσεων — ανάκτηση αρχείων μετά από ransomware
- ✔ Δωρεάν χώρος — συγχρονισμός σε όλες τις συσκευές
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Τι είναι οι επιθέσεις brute force;
Οι επιθέσεις brute force προσπαθούν να σπάσουν κωδικούς πρόσβασης, διαπιστευτήρια σύνδεσης και κλειδιά κρυπτογράφησης. Υπάρχουν από την αρχή της εποχής των υπολογιστών, αλλά εξακολουθούν να είναι αποτελεσματικές. Γιατί; Εν μέρει επειδή οι άνθρωποι εξακολουθούν να χρησιμοποιούν εύκολους κωδικούς πρόσβασης όπως ‘1234’, ή το όνομα της εταιρείας τους, ή προεπιλεγμένους κωδικούς πρόσβασης που αφήνονται σε hardware και λογισμικό από προμηθευτές.
Οι κακόβουλοι παράγοντες έχουν συντάξει λίστες με τους πιο συχνά χρησιμοποιούμενους κωδικούς πρόσβασης (ονόματα διάσημων αθλητών, ονόματα διάσημων ηθοποιών, ονόματα διάσημων ροκ συγκροτημάτων…), βασισμένες σε χρόνια παραβιάσεων δεδομένων, τις οποίες πωλούν ή μοιράζονται για χρήση σε αυτό που ονομάζεται επιθέσεις credential-stuffing.
Δείτε επίσης: Η RevengeHotels αξιοποιεί το AI για διανομή του VenomRAT
Μια επίθεση dictionary χρησιμοποιεί μια λίστα λέξεων από ένα λεξικό. Οι υβριδικές επιθέσεις brute force συνδυάζουν ένα λεξικό με λίστες κλεμμένων κωδικών πρόσβασης. Η σύγχρονη τεχνολογία υπολογιστών βοηθά επίσης τους κακόβουλους παράγοντες, επεσήμανε ο Meghu. Με τους σημερινούς, χαμηλού κόστους, πόρους cloud computing, οποιοσδήποτε απατεώνας μπορεί να δημιουργήσει μια προσωρινή εικονική μηχανή για να δοκιμάσει κάθε συνδυασμό κατά ενός αρχείου.
Και η Picus Security ανέφερε πρόσφατα ότι ακόμη και οι hashed κωδικοί πρόσβασης μπορούν να σπάσουν εύκολα.
Άμυνες
- Οι πελάτες πρέπει να χρησιμοποιούν μεγάλους κωδικούς πρόσβασης τουλάχιστον 16 γραμμάτων και αριθμών.
- Ενθάρρυνση υπαλλήλων να χρησιμοποιούν μια φράση-κλειδί που μπορούν να θυμούνται.
- Για να αποθαρρύνουν τους χρήστες από το να δημιουργούν εύκολους κωδικούς πρόσβασης, οι CSOs θα πρέπει να απαιτούν από τους υπαλλήλους να χρησιμοποιούν έναν διαχειριστή κωδικών πρόσβασης για να αποθηκεύουν τα διαπιστευτήριά τους.
- Οι ειδικοί συμβουλεύουν ότι η καλύτερη άμυνα κατά των επιθέσεων brute force είναι η ανθεκτική στο phishing πολυπαραγοντική ταυτοποίηση (συμπεριλαμβανομένης της χρήσης φυσικών κλειδιών USB ή βιομετρικών στοιχείων ως επιπλέον βήμα σύνδεσης).
