Groß angelegte Brute-Force-Aktivitäten zielen auf VPNs und SSH-Dienste ab und verwenden dabei häufig verwendete Anmeldeinformationen.
Dies könnte bedeuten, dass Angreifer versuchen, sich Zugang zu virtuellen privaten Netzwerken (VPNs) und Secure Shell (SSH) -Diensten zu verschaffen, indem sie automatisierte Tools verwenden, um häufig verwendete Benutzernamen und Passwörter auszuprobieren. Solche Anmeldeinformationen können beispielsweise Standard-Benutzernamen wie „admin“ oder „root“ und bekannte Passwörter oder solche, die auf Listen häufig verwendeter Passwörter basieren, umfassen.
Um sich gegen diese Art von Angriffen zu verteidigen, ist es entscheidend, starke, eindeutige Passwörter zu verwenden, die nicht leicht zu erraten sind, und sicherzustellen, dass die verwendeten VPNs und SSH-Dienste aktuell sind und die neuesten Sicherheitspatches implementiert haben. Zwei-Faktor-Authentifizierung (2FA) sollte als zusätzliche Sicherheitsebene implementiert werden, um den Zugriff auf diese Dienste zu schützen. Darüber hinaus können Überwachungssysteme eingesetzt werden, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren, um potenzielle Sicherheitsverletzungen zu minimieren.
Cisco Talos überwacht aktiv eine weltweite Zunahme von Brute-Force-Angriffen gegen verschiedene Ziele, einschließlich Virtual Private Network (VPN)-Diensten, Authentifizierungsschnittstellen von Webanwendungen und SSH-Diensten seit mindestens dem 18. März 2024.
Diese Angriffe scheinen alle von TOR-Ausgangsnodes und einer Reihe anderer anonymisierender Tunnel und Proxys zu stammen.
Je nach Zielumgebung können erfolgreiche Angriffe dieser Art zu unbefugtem Netzwerkzugriff, Kontosperren oder Denial-of-Service-Bedingungen führen. Der mit diesen Angriffen verbundene Datenverkehr hat im Laufe der Zeit zugenommen und wird voraussichtlich weiter steigen. Bekannte betroffene Dienste sind unten aufgeführt. Es ist jedoch möglich, dass weitere Dienste von diesen Angriffen betroffen sind.
- Cisco Secure Firewall VPN
- Checkpoint VPN
- Fortinet VPN
- SonicWall VPN
- RD Web Services
- Miktrotik
- Draytek
- Ubiquiti
Die Brute-Force-Versuche verwenden generische Benutzernamen und gültige Benutzernamen für bestimmte Organisationen. Die Ausrichtung dieser Angriffe scheint undifferenziert zu sein und nicht auf eine bestimmte Region oder Branche ausgerichtet zu sein. Die Quell-IP-Adressen für diesen Datenverkehr sind häufig mit Proxy-Services verbunden, zu denen unter anderem gehören, jedoch nicht darauf beschränkt sind:
- TOR
- VPN Gate
- IPIDEA Proxy
- BigMama Proxy
- Space Proxies
- Nexus Proxy
- Proxy Rack
Diese Liste ist nicht umfassend, da zusätzliche Dienste von Bedrohungsakteuren genutzt werden können.
Aufgrund des signifikanten Anstiegs und des hohen Datenvolumens hat Cisco Talos die bekannten zugehörigen IP-Adressen der Sperrliste hinzugefügt. Es ist wichtig zu beachten, dass sich die Quell-IP-Adressen für diesen Datenverkehr wahrscheinlich ändern werden.
Leitlinien
Da diese Angriffe eine Vielzahl von VPN-Diensten betreffen, variieren die Maßnahmen je nach betroffenem Dienst. Für VPN-Dienste finden Sie Anleitungen und Empfehlungen in einem aktuellen Support-Blog von Cisco:
Best Practices gegen Password-Spray-Angriffe, die Remote-Zugriffs-VPN-Dienste betreffen
Indicators of Compromise (IOCs)
Cisco schließt die in diesen Angriffen verwendeten Benutzernamen und Passwörter in die IOCs zur Bewusstseinsbildung ein. IP-Adressen und Anmeldeinformationen, die mit diesen Angriffen verbunden sind, finden Sie im Cisco GitHub-Repository hier.
Allen unseren Kunden, die noch keine Multi-Faktor-Authentifizierung einsetzen, empfehlen wir dringend, uns diesbezüglich anzusprechen.
Einbruchs- und Angriffserkennung implementieren wir gemeinsame mit Ihnen gerne mit unseren Partnern Cisco, Cybersense, Fortinet und G DATA CyberDefense.
Gesprächstermine jetzt vereinbaren unter 02261 9155050.
