Η Cisco έχει εκδώσει μια προειδοποίηση σχετικά με μια σημαντική εκστρατεία ωμής βίας με στόχο να διακυβεύσει τις υπηρεσίες VPN και SSH σε συσκευές πολλών μεγάλων κατασκευαστών, όπως η ίδια η Cisco, η CheckPoint, η Fortinet, η SonicWall και η Ubiquiti. Η καμπάνια, προσδιορίστηκε από Η ερευνητική ομάδα ασφάλειας της Cisco, η Cisco Talos, εφαρμόζει μια στρατηγική προσπάθειας πολλαπλών συνδυασμών ονομάτων χρήστη και κωδικών πρόσβασης για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε συσκευές και εσωτερικά δίκτυα. Οι επιτιθέμενοι αξιοποιούν έναν συνδυασμό έγκυρων και γενικών διαπιστευτηρίων εργαζομένων προσαρμοσμένων σε συγκεκριμένους οργανισμούς.
Μεθοδολογία επίθεσης και αντίκτυπος
Οι επιθέσεις ωμής βίας, που ξεκίνησαν στις Οι 18 Μαρτίου 2024 προέρχονται κυρίως από κόμβους εξόδου TOR μαζί με διάφορα εργαλεία ανωνυμοποίησης και διακομιστή μεσολάβησης. Αυτές οι μέθοδοι χρησιμοποιούνται στρατηγικά από τους εισβολείς για να παρακάμψουν τις προσπάθειες αποκλεισμού από τους στοχευμένους οργανισμούς. Οι επιθέσεις έχουν τη δυνατότητα να οδηγήσουν σε πολλά δυσμενή αποτελέσματα, όπως μη εξουσιοδοτημένη πρόσβαση στο δίκτυο, κλείδωμα λογαριασμών, ακόμη και συνθήκες άρνησης υπηρεσίας. Η ποικιλία των υπηρεσιών που χρησιμοποιούνται για αυτές τις επιθέσεις περιλαμβάνει TOR, VPN Gate, IPIDEA Proxy, μεταξύ άλλων, υποδεικνύοντας μια εξελιγμένη και με καλούς πόρους λειτουργία.
Οι υπηρεσίες που στοχεύουν σε αυτήν την καμπάνια είναι κρίσιμες για την υποδομή ασφαλείας πολλών οργανισμών και περιλαμβάνουν το Cisco Secure Firewall. VPN, Checkpoint VPN, Fortinet VPN και πολλά άλλα. Ο αδιάκριτος χαρακτήρας αυτών των επιθέσεων, χωρίς συγκεκριμένη εστίαση σε οποιονδήποτε κλάδο ή περιοχή, υποδηλώνει μια ευρεία, ευκαιριακή προσέγγιση από τους εισβολείς, με στόχο την εκμετάλλευση τυχόν ευπάθειας που εντοπίζεται σε αυτές τις ευρέως χρησιμοποιούμενες υπηρεσίες.
Δείκτες συμβιβασμού και ιστορικό πλαίσιο
Η Cisco Talos έχει διαθέσει μια ολοκληρωμένη λίστα δεικτών συμβιβασμού (IoC) στο GitHub, η οποία περιλαμβάνει διευθύνσεις IP και συγκεκριμένα ονόματα χρήστη και κωδικούς πρόσβασης που χρησιμοποιούνται στις επιθέσεις ωμής βίας. Αυτός ο πόρος στοχεύει να βοηθήσει τους οργανισμούς να ενισχύσουν τα μέτρα ασφαλείας τους έναντι αυτής της συνεχιζόμενης απειλής.
Η τρέχουσα καμπάνια μοιάζει με προηγούμενες επιθέσεις, συμπεριλαμβανομένου ενός κύματος επιθέσεων με ψεκασμό κωδικών πρόσβασης που στοχεύουν υπηρεσίες απομακρυσμένης πρόσβασης VPN που αναφέρθηκαν από τη Cisco αργά Μάρτιος 2024. Ο ερευνητής ασφάλειας Aaron Martin έχει συνδέσει αυτές τις προηγούμενες επιθέσεις με ένα botnet κακόβουλου λογισμικού γνωστό ως «Brutus», με βάση τις ομοιότητες στα μοτίβα και τους στόχους επίθεσης. Αν και δεν έχει επιβεβαιωθεί εάν η τρέχουσα εκστρατεία ωμής βίας συνδέεται άμεσα με αυτά τα προηγούμενα περιστατικά, η συνεπής στόχευση των υπηρεσιών VPN και SSH υπογραμμίζει ένα μόνιμο τοπίο απειλών.