✔Cisco предупредила о масштабных брутфорс-атаках, нацеленных на VPN-сервисы - «Новости»

Компания Cisco предупреждает о массовых брутфорс-атаках, нацеленных на VPN- и SSH-сервисы на устройствах Cisco, CheckPoint, Fortinet, SonicWall и Ubiquiti по всему миру. По данным ИБ-специалистов Cisco Talos, в новой кампании для перебора используются как настоящие, так и типовые учетные данные сотрудников, связанных с конкретными организациями. Атаки начались еще 18 марта 2024 года, и все они исходят от выходных узлов Tor и других инструментов для анонимизации, а также прокси-серверов, которые злоумышленники используют для обхода блокировок. Так, для проведения атак используются такие сервисы, как Tor, VPN Gate, IPIDEA Proxy, BigMama Proxy, Space Proxies, Nexus Proxy и Proxy Rack. «В зависимости от целевой среды успешные атаки такого типа могут привести к несанкционированному доступу к сети, блокировке учетных записей или отказу в обслуживании, — предупреждают в Cisco Talos. — Объем трафика, связанного с этими атаками, со временем увеличился и, скорее всего, продолжит расти». Исследователи сообщают, что атакам активно подвергаются: • Cisco Secure Firewall VPN; • Checkpoint VPN; • Fortinet VPN; • SonicWall VPN; • RD Web Services; • Miktrotik; • Draytek; • Ubiquiti. При этом злоумышленники не нацеливаются на конкретные отрасли и регионы, а атаки носят случайный, оппортунистический характер. Эксперты опубликовали на GitHub полный список индикаторов компрометации (IoC), включая IP-адреса злоумышленников и список имен пользователей и паролей, использованных в атаках. В целом в атаках задействованы более 2000 имен пользователей и около 100 паролей, а также около 4000 IP-адресов. Интересно, что в конце марта Cisco уже предупреждала о похожей брутфорс-активности, связанной с ботнетом Brutus, который использовал password spray атаки, нацеленные на службы Remote Access VPN (RAVPN) на устройствах Cisco Secure Firewall. Теперь в компании говорят, что в настоящее время нет убедительных доказательств, позволяющих связать эти атаки друг с другом и конкретными злоумышленниками, однако технические совпадения присутствуют как в способах проведения атак, так и в используемой инфраструктуре.