INC-Ransomware-Gruppe nutzt aktiv Schwachstellen in SonicWall SMA 1000 aus
INC Ransomware hat sich zu einem führenden Bedrohungsakteur entwickelt, der ungepatchte SonicWall SMA 1000-Appliances angreift und Netzwerkbrüche ermöglicht, die sich auf Webserver und gehostete Daten auswirken können.
Die INC-Ransomware-Gruppe hat sich in letzter Zeit verstärkt auf Appliances der Serie SonicWall Secure Mobile Access (SMA) 1000 konzentriert und nutzt bekannte Sicherheitslücken, um sich ersten Zugang zu Unternehmensnetzwerken zu verschaffen. Diese Appliances, die häufig für den Remote-VPN-Zugang von Mitarbeitern und Dritten verwendet werden, sind kritische Einstiegspunkte; eine erfolgreiche Kompromittierung kann Angreifern einen Fuß in die Peripherie verschaffen, von wo aus sie sich seitwärts zu Webservern, Datenbanken und Cloud-gehosteten Assets bewegen können.
Ist die Gruppe erst einmal drinnen, setzt sie in der Regel ihre Ransomware-Nutzlast ein, um Dateien zu verschlüsseln und Opfer zu erpressen, aber die Gefahr reicht weiter. Durch die Kompromittierung der SMA 1000 – im Wesentlichen ein Gateway – können Angreifer Anmeldeinformationen abfangen, die DNS-Auflösung manipulieren oder zu internen Webanwendungen wechseln. Für Unternehmen, die öffentlich zugängliche Websites im selben Netzwerk betreiben, kann dies zu Website-Verunstaltung, Exfiltration von Kundendaten oder der Injektion bösartiger Skripte führen, die Besucher beeinträchtigen.
SonicWall hat bereits früher Patches für Schwachstellen in der SMA-1000-Reihe herausgegeben, darunter kritische Fehler, die eine nicht authentifizierte Remote-Befehlsausführung ermöglichen. Obwohl die genauen CVEs, die in dieser Kampagne ausgenutzt werden, in der neuesten Warnung nicht aufgeführt wurden, ist es eine deutliche Erinnerung daran, dass eine Verzögerung von Firmware-Updates auf Edge-Geräten eine offene Tür für Ransomware-Gruppen schafft. Sicherheitspatches für diese Appliances sollten mit der gleichen Dringlichkeit behandelt werden wie die für öffentliche Webserver.
Für Website-Betreiber und Hosting-Anbieter sind die Auswirkungen real: Eine kompromittierte Netzwerk-Appliance kann als Startrampe für DNS-Entführung dienen, den Datenverkehr von Websites auf Phishing-Seiten umleiten oder Angreifern ermöglichen, verschlüsselten Datenverkehr abzufangen, wenn sie bösartige Zertifikate durchsetzen können. Organisationen sollten sofort überprüfen, ob ihre SMA-1000-Geräte – falls noch in Verwendung – die neueste Firmware ausführen, und Zugriffsprotokolle auf Anzeichen unbefugter Aktivitäten überprüfen.
Ein Security-first-Ansatz für die IT-Infrastruktur, wie er von AEU-I angeboten wird, umfasst regelmäßige Bewertungen von Perimeter-Geräten und Netzwerksegmentierung, um Sicherheitsverletzungen einzudämmen und sicherzustellen, dass ein Exploit auf einer Appliance nicht zu einer umfassenden Website-Kompromittierung oder Datenverlust führt.