Операторы программ-вымогателей Fog и Akira все чаще проникают в корпоративные сети через VPN-аккаунты SonicWall. Предполагается, что эти угрозы используют CVE-2024-40766, критический недостаток управления доступом к SSL VPN.
Компания SonicWall исправила этот недостаток в SonicOS в конце августа 2024 года, а примерно через неделю предупредила, что он уже активно эксплуатируется.
В то же время исследователи безопасности Arctic Wolf сообщили о том, что аффилированные с Akira программы-вымогатели используют этот недостаток для получения первоначального доступа к сетям жертв.
В новом отчете Arctic Wolf говорится, что Akira и Fog ransomware осуществили по меньшей мере 30 вторжений, которые начинались с удаленного доступа к сети через учетные записи SonicWall VPN.
75 % из этих случаев связаны с Akira, а остальные - с операциями Fog ransomware.
Интересно, что обе угрожающие группы, похоже, используют общую инфраструктуру, что свидетельствует о продолжении неофициального сотрудничества между ними, о котором ранее сообщала компания Sophos.
Хотя исследователи не уверены на 100%, что дефект был использован во всех случаях, все взломанные конечные точки были уязвимы к нему, работая на старой, непропатченной версии.
В большинстве случаев время от вторжения до шифрования данных было коротким - около десяти часов, а в самых быстрых случаях достигало 1,5-2 часов.
Во многих из этих атак угрожающие лица получали доступ к конечной точке через VPN/VPS, скрывая свои реальные IP-адреса.
Arctic Wolf отмечает, что помимо использования непропатченных конечных точек, взломанные организации, похоже, не включали многофакторную аутентификацию на взломанных учетных записях SSL VPN и запускали свои службы на стандартном порту 4433.
«Во время вторжений, когда были захвачены журналы брандмауэра, были замечены события сообщений ID 238 (разрешен вход удаленного пользователя в зону WAN) или ID 1080 (разрешен вход удаленного пользователя в зону SSL VPN)», - поясняет Artic Wolf.
«После одного из этих сообщений появилось несколько сообщений журнала SSL VPN INFO (событие ID 1079), указывающих на то, что вход в систему и назначение IP-адресов завершились успешно».
На последующих этапах угрожающие субъекты проводили быстрые атаки с использованием шифрования, направленные в основном на виртуальные машины и их резервные копии.
Кража данных из взломанных систем включала в себя документы и проприетарное программное обеспечение, но угрозы не беспокоились о файлах старше шести месяцев или 30 месяцев для более чувствительных файлов.
Запущенная в мае 2024 года программа Fog ransomware - это растущая операция, филиалы которой обычно используют скомпрометированные учетные данные VPN для первоначального доступа.
Akira, более известный игрок на рынке вымогательского ПО, в последнее время испытывал проблемы с доступом к веб-сайту Tor, как отмечает BleepingComputer, но сейчас он постепенно восстанавливается.
Компания Cisco добавила новые функции безопасности, которые значительно снижают вероятность атак методом перебора и распыления паролей на Cisco ASA и Firepower Threat Defense (FTD), помогая защитить сеть от взлома и снизить нагрузку на ресурсы устройств.
Злоумышленники могут понизить уровень компонентов ядра Windows, чтобы обойти такие функции безопасности, как Driver Signature Enforcement, и развернуть руткиты на полностью исправленных системах.
Компания Amazon конфисковала домены, использовавшиеся российской хакерской группой APT29 в целевых атаках на правительственные и военные организации для кражи учетных данных и информации Windows с помощью вредоносных файлов подключения к протоколу удаленного рабочего стола.