Il gruppo ransomware INC sfrutta attivamente le vulnerabilità di SonicWall SMA 1000

Il gruppo ransomware INC ha recentemente intensificato la sua attenzione sulle appliance SonicWall Secure Mobile Access (SMA) serie 1000, sfruttando falle di sicurezza note per ottenere un accesso iniziale alle reti aziendali. Queste appliance, spesso utilizzate per fornire accesso VPN remoto a dipendenti e terze parti, sono punti di ingresso critici; un compromesso riuscito può concedere agli attaccanti un punto d'appoggio all'interno del perimetro, dal quale possono muoversi lateralmente verso server web, database e asset ospitati sul cloud.

Una volta dentro, il gruppo in genere distribuisce il proprio payload ransomware per crittografare i file ed estorcere le vittime, ma il pericolo va oltre. Compromettendo la SMA 1000, essenzialmente un gateway, gli attaccanti possono intercettare le credenziali, manipolare la risoluzione DNS o spostarsi verso applicazioni web interne. Per le aziende che eseguono siti web pubblici sulla stessa rete, questo può portare a deturpazione del sito, esfiltrazione di dati dei clienti o iniezione di script dannosi che colpiscono i visitatori.

SonicWall ha precedentemente rilasciato patch per vulnerabilità nella linea SMA 1000, inclusi difetti critici che consentono l'esecuzione remota di comandi non autenticata. Sebbene le CVE esatte sfruttate in questa campagna non siano state dettagliate nell'ultimo avviso, è un chiaro promemoria che ritardare gli aggiornamenti del firmware sui dispositivi perimetrali crea una porta aperta per i gruppi ransomware. Le patch di sicurezza per queste appliance dovrebbero essere trattate con la stessa urgenza di quelle per i server web pubblici.

Per i proprietari di siti web e i provider di hosting, gli effetti a catena sono reali: un'appliance di rete compromessa può fungere da piattaforma di lancio per il dirottamento DNS, reindirizzando il traffico del sito verso pagine di phishing, o consentendo agli attaccanti di intercettare il traffico crittografato se riescono a spingere certificati dannosi. Le organizzazioni dovrebbero verificare immediatamente che i loro dispositivi SMA 1000, se ancora in uso, eseguano l'ultimo firmware e rivedere i registri di accesso per eventuali segni di attività non autorizzata.

Un approccio alla sicurezza informatica incentrato sulla sicurezza, come quello offerto da AEU-I, include valutazioni regolari dei dispositivi perimetrali e segmentazione della rete per contenere le violazioni, assicurando che uno sfruttamento su un'appliance non si trasformi in una compromissione completa del sito web o in una perdita di dati.