Firewall-urile Palo Alto, ținta persistentă a grupurilor de ransomware

Cum au pătruns atacatorii în sistem?

Sistemul de operare al firewall-urilor Palo Alto Networks a devenit, de la începutul lunii iunie, o țintă preferată pentru mai multe grupuri de ransomware. Echipa de securitate Unit 42 a companiei a documentat aceste intruziuni, care au afectat organizații din numeroase industrii.

Atacatorii au profitat de vulnerabilități în OS pentru a pătrunde în rețelele interne.

Investigațiile au scos la iveală că mai multe grupuri distincte stau în spatele acestor incidente. Fiecare a folosit tactici diferite pentru a-și asigura prezența în sistem și pentru a cripta fișierele critice.

Campaniile de atac au început în iunie și s-au prelungit pe parcursul lunilor următoare, Unit 42 partajând constatăriile cu clienții afectați.

Ce înseamnă pentru securitatea rețelei?

Grupurile de ransomware au vizat direct firewall-ul, exploatarea unor deficiențe de configurare și a mecanismelor slabe de autentificare.

Accesul inițial a fost obținut prin credentiale compromise și vulnerabilități neîncapsulate. Odată în interior, atacatorii s-au mutat lateral pe rețea, distribuinți payload-uri de criptare care au blocat utilizatorii legitimi. Firewall-ul a servit astfel ca poartă de intrare pentru aceste breșe de securitate.

Organizațiile care se bazează pe firewall-urile Palo Alto ar trebui să auditeze imediat configurațiile lor. Unit 42 recomandă revizuirea jurnalelor de acces și verificarea conturilor neautorizate. Incidentul subliniază importanța critică a menținerii echipamentelor de securitate la zi cu toate patch-urile. Companiile ar trebui, de asemenea, să impună politici stricte de parole și autentificare multi-factor.

Ce grupuri de atacatori au fost implicate? Unit 42 a identificat mai multe grupuri distincte.

Fiecare a folosit metode de criptare și canale de comunicare diferite.

Întrebări frecvente

Cât timp au durat atacurile?

Atacurile sunt în curs de desfășurare din iunie. Ele s-au întins pe parcursul mai multor luni înainte de a fi complet containute.

Ce ar trebui să facă organizațiile acum?

Să auditeze configurațiile firewall-ului, să roate credentialele și să aplice toate patch-urile disponibile. Să verifice jurnalele de rețea pentru semne de mișcare laterală și acces neautorizat.