Tehdit aktörleri, en az 30 Nisan'dan bu yana, kurbanların ağları boyunca başarılı saldırılarda yanal olarak hareket etmek için gereken Active Directory verilerini çalan yüksek aralıklı bir kontrol noktası uzaktan erişim VPN Zero Day'den yararlanıyor.
Check Point Pazartesi günü müşterileri, saldırganların Güvenlik Ağ Geçitlerini Güvensiz Yalnızca Şifre Kimlik Doğrulamasına sahip eski VPN Yerel Hesaplarını kullanarak hedefledikleri konusunda uyardı.
Şirket daha sonra, bilgisayar korsanlarının bu saldırılarda bir bilgi açıklama kusurunu (CVE-2024-24919 olarak izlenen) kullandığını keşfetti ve müşterilerin savunmasız bulut ağı, kuantum maestro, kuantum ölçeklenebilir şasiye, kuantum güvenlik geçitlerine karşı sömürü girişimlerini engellemelerine yardımcı olmak için hotfixes yayınladı. Kuantum kıvılcım aletleri.
"Güvenlik açığı potansiyel olarak bir saldırganın, uzaktan erişim VPN veya mobil erişim etkinken internet bağlantılı ağ geçitleri hakkında belirli bilgileri okumasına izin verir."
Diyerek şöyle devam etti: "Daha önce 27 Mayıs'ta uyarıldığı gibi, şimdiye kadar gördüğümüz denemeler, yalnızca önerilmemiş şifre kimlik doğrulamasına sahip eski yerel hesaplarla uzaktan erişim senaryolarına odaklanıyor."
Bugün piyasaya sürülen hotfix'i uyguladıktan sonra, zayıf kimlik bilgileri ve kimlik doğrulama yöntemleri kullanan tüm giriş denemeleri otomatik olarak engellenecek ve günlüğe kaydedilecektir. Check Point ayrıca bu destek belgesindeki CVE-2024-24919 ve HOTFIX kurulum talimatları hakkında ek bilgi sağlar.
Check Point, sıfır gün olarak CVE-2024-24919'u hedefleyen saldırıların 24 Mayıs'ta başladığını paylaşırken, siber güvenlik şirketi Mnemonic bugün 30 Nisan'dan bu yana bazı müşteri ortamlarında sömürü girişimlerini gözlemlediği konusunda uyardı.
Şirket, güvenlik açığının "özellikle kritik" olduğunu ekledi, çünkü uzaktan yararlanmayı veya uzaktan erişim VPN ve mobil erişim etkinleştirilmiş Saldırı Noktası Güvenlik Ağ geçitlerinde herhangi bir ayrıcalık gerektirmediğinden uzaktan sömürülmesi kolaydır.
Mnemonic, "Güvenlik açığı, bir tehdit oyuncusunun Active Directory'ye bağlanmak için kullanılan hesap da dahil olmak üzere tüm yerel hesaplar için şifre karmalarını numaralandırmasına ve çıkarmasına izin veriyor. Sonuçların tam kapsamı hala bilinmiyor."
"Bununla birlikte, Active Directory'ye bağlanmak için kullanılan hizmet hesapları da dahil olmak üzere, yalnızca şifre kimlik doğrulamasına sahip eski yerel kullanıcıların şifre karmalarının çıkarılabileceği bilinmektedir. Zayıf şifreler tehlikeye girebilir ve ağ içindeki daha fazla kötüye kullanıma ve potansiyel yanal harekete yol açabilir. "
Tehdit aktörleri, yerel bir kullanıcıyla birlikte oturum açtıktan sonraki 2-3 saat içinde uzlaşmış müşterilerden kullanıcılar, gruplar, güvenlik tanımlayıcıları ve şifre karmalarında Active Directory verilerini depolayan bir veritabanı olan NTDS.DIT'i çıkartılar.
Güvenlik açığı, saldırganların kurbanın ağı içinde yanal olarak hareket etmesine ve görsel stüdyo kodunu kötü niyetli trafiği tünellemek için kötüye kullanmasına izin veren bilgileri çıkarmak için de kullanılmıştır.
Mnemonic, Check Point müşterilerine etkilenen sistemleri hemen yamalı sürüme güncellemelerini ve savunmasız güvenlik ağ geçitlerindeki yerel kullanıcıları kaldırmalarını önerir.
Yöneticilerin ayrıca geçitten Active Directory'ye LDAP bağlantıları için şifreleri/hesapları döndürmesi, anormal davranış ve şüpheli girişler gibi uzlaşma belirtileri için günlüklerde yazma sonrası aramalar yapması ve varsa kontrol noktası IPS imzasını güncellemeleri önerilir. sömürü girişimlerini tespit etmek.
Saldırılarda sömürülen VPN Zero-Day için acil durum düzeltmesini kontrol et.
Bilgisayar korsanları, kurumsal ağları ihlal etmek için kontrol noktası VPN'lerini hedef
Google, bu yıl sekizinci aktif olarak sömürülen krom sıfır gün
Google, bir haftada üçüncü aktif olarak sömürülen Chrome sıfır gününü düzeltir
Microsoft, Qakbot kötü amaçlı yazılım saldırılarında Windows Zero Day'i düzeltiyor
Kaynak: Bleeping Computer