Citrix представила средства защиты от продолжающихся атак с распылением паролей на Netscaler

Citrix Netscaler - последняя цель широко распространенных в этом году атак с распылением паролей, направленных на пограничные сетевые устройства и облачные платформы для взлома корпоративных сетей.

В марте компания Cisco сообщила, что угрожающие лица проводят атаки с использованием паролей на устройства Cisco VPN. В некоторых случаях эти атаки вызывали отказ в обслуживании, что позволило компании обнаружить уязвимость DDoS, которую она устранила в октябре.

В октябре Microsoft предупредила, что ботнет Quad7 использует взломанные сетевые устройства TP-Link, Asus, Ruckus, Axentra и Zyxel для проведения атак с использованием паролей на облачные сервисы.

Ранее на этой неделе немецкое агентство кибербезопасности BSI сообщило о многочисленных сообщениях о том, что устройства Citrix Netscaler стали объектом аналогичных атак с распылением паролей для кражи учетных данных и взлома сетей.

«В настоящее время BSI получает все больше сообщений об атаках методом грубой силы на шлюзы Citrix Netscaler из различных секторов KRITIS и от международных партнеров», - говорится в сообщении BSI.

Впервые об атаках на прошлой неделе сообщил портал Born City, читатели которого заявили, что начали сталкиваться с атаками грубой силы на свои устройства Citrix Netscaler, начиная с ноября и продолжая в декабре.

Некоторые из читателей сообщили, что получили от 20 000 до миллиона попыток перебора учетных данных с использованием различных общих имен пользователей, включая следующие:

test, testuser1, veeam, sqlservice, scan, ldap, postmaster, vpn, fortinet, confluence, vpntest, stage, xerox, svcscan, finance, sales.

Другие имена пользователей, замеченные в атаках с распылением паролей, включают имена, пары first.lastname и адреса электронной почты.

Citrix выпустила бюллетень безопасности

Сегодня компания Citrix выпустила бюллетень безопасности, в котором предупредила о росте числа атак с использованием паролей на устройства Netscaler и рассказала о том, как уменьшить их последствия.

«В последнее время Cloud Software Group отмечает увеличение числа атак с использованием паролей, направленных на устройства NetScaler. Эти атаки характеризуются внезапным и значительным увеличением числа попыток и неудач аутентификации, что вызывает оповещения в системах мониторинга, включая Gateway Insights и журналы Active Directory. Трафик атак поступает с широкого спектра динамических IP-адресов, что делает традиционные стратегии борьбы с атаками, такие как блокировка IP-адресов и ограничение скорости, менее эффективными.

Клиентам, использующим Gateway Service, не нужно принимать никаких мер по устранению последствий. Эти меры требуются только для устройств NetScaler/NetScaler Gateway, развернутых в помещениях или в облачной инфраструктуре».

Citrix утверждает, что атаки с распылением паролей происходят с широкого спектра IP-адресов, что затрудняет блокирование этих попыток с помощью блокировки IP-адресов или ограничения скорости.

Компания также предупреждает, что внезапный наплыв запросов на аутентификацию может перегрузить устройства Citrix Netscaler, настроенные на нормальный объем входа в систему, что приведет к увеличению количества журналов и вызовет недоступность устройств или проблемы с производительностью.

Citrix утверждает, что в наблюдаемых атаках запросы на аутентификацию были направлены на конечные точки pre-nFactor, которые представляют собой исторические URL-адреса аутентификации, используемые для совместимости с устаревшими конфигурациями.

Компания поделилась рядом мер, которые могут уменьшить влияние этих атак, в том числе:

• Убедиться, что многофакторная аутентификация настроена до фактора LDAP.
• Поскольку атаки нацелены на IP-адреса, Citrix рекомендует создать политику ответчика, чтобы запросы на аутентификацию отклонялись, если они не пытаются аутентифицироваться по указанному полному доменному имени (FQDN).
• Блокируйте конечные точки Netscaler, связанные с запросами аутентификации pre-nFactor, если только они не необходимы для вашей среды.
• Используйте брандмауэр веб-приложений (WAF) для блокировки IP-адресов с низкой репутацией, вызванной предыдущим вредоносным поведением.

Citrix утверждает, что клиентам, использующим Gateway Service, не нужно применять эти меры защиты, поскольку они предназначены только для устройств NetScaler/NetScaler Gateway, развернутых в помещениях или в облаке.

По словам компании, эти меры также доступны только для прошивок NetScaler версии выше или равной 13.0.

Более подробные инструкции о том, как применить эти меры защиты, можно найти в рекомендациях Citrix.