Zero-day în BeyondTrust: atacatori chinezi exploatează bug-uri la marginea rețelei

De ce țintesc instrumentele de acces la distanță?

Cercetători în securitate cibernetică au dezvăluit o vulnerabilitate zero-day critică în software-ul BeyondTrust Remote Support, activ exploatare de atacatori legați de China.

Defectul afectează dispozitivele de margine folosite de companii pentru acces la distanță și se alătură unei serii de bug-uri gravitate descoperite recent în produsele Ivanti, Cisco și Palo Alto Networks.

Echipele de securitate sunt îndemnate să aplică patch-uri imediat, pe măsură ce încercările de exploatare continuă să crească.

Vulnerabilitatea permite unui atacator neautentificat să executeze cod arbitrar pe sistemele vulnerabile, trimițând cereri special concepute către dispozitivul BeyondTrust. Odată compromiși, atacatorii pot deplasați lateral în rețea, fura date sensibile sau distribui ransomware.

Ce trebuie să facă organizațiile acum?

Acest model reflectă atacurile recente vizând gateway-urile VPN și dispozitivele de firewall, unde actorii amenințării exploatează slăbiciunile perimetrale înainte ca apărătorii să poată reacționa. Grupele chineze de amenințare avansată persistentă au fost observate folosind tactici similare în campanii trecute împotriva rețelelor guvernamentale și corporative.

Actorii amenințării se concentrează tot mai mult pe soluțiile de suport și acces la distanță, deoarece acestea se află adesea la marginea rețelei, cu privilegii largi și supraveghere limitată. Spre deosebire de dispozitivele utilizatorilor finali, aceste dispozitive pot fi mai puțin actualizate din punct de vedere al securității, făcându-le ținte atractive. În acest caz, atacatorii au folosit defectul din BeyondTrust pentru accesul inițial, apoi au folosit instrumente de administrare legitime pentru a evita detectarea.

Cercetătorii au notat că lanțul de exploatare seamănă cu tactici văzute în intruziunile recente din Ivanti Pulse Secure, sugerând o suprapunere posibilă în instrumente sau infrastructură.

Administratorii de securitate ar trebui să verifice dacă dispozitivele lor BeyondTrust Remote Support rulează versiuni anterioare versiunii cu patch și să aplică actualizările fără întârziere. Segmentarea rețelei și autentificarea în mai multe etape pentru interfațele de administrare pot reduce riscul chiar dacă aplicarea patch-urilor se întârzie.

Monitorizarea conexiunilor ieșire neobișnuite sau activității conturilor cu privilegii este, de asemenea, recomandată. Furnizorii împărtășează indicatori de compromitere pentru a ajuta organizațiile să detecteze încălcări potențiale legate de această campanie.

Cum exploatează atacatorii vulnerabilitatea din BeyondTrust Remote Support?

Ce versiuni ale BeyondTrust Remote Support sunt afectate?

Versiunile anterioare actualizării de securitate publicate în această săptămână sunt vulnerabile la exploatarea zero-day. Organizațiile ar trebui să consulte avizul furnizorului pentru numerele exacte ale versiunilor și instrucțiunile de aplicare a patch-urilor. Există dovezi de furt de date în aceste atacuri?

Deși atacatorii au obținut acces la sisteme, cercetătorii nu au confirmat încă exfiltrarea la scară mare a datelor în cazurile raportate public. Totuși, nivelul de acces obținut permite daune semnificative dacă nu se conține rapid. Poate antivirusul tradițional opri această exploatare?

Nu, această vulnerabilitate este exploatare la nivelul dispozitivului, înainte ca software-ul de securitate să ruleze de obicei, deci protecția de punct final singură este insuficientă. Aplicarea patch-urilor pe firmware-ul sau software-ul dispozitivului este apărarea principală.