Ransomware zneužívá dvě zero-day zranitelnosti v zařízeních SonicWall SMA

Bezpečnostní výzkumníci upozornili na novou vlnu ransomwarových útoků, které zneužívají dvojici dosud neznámých zranitelností typu zero-day v zařízeních SonicWall SMA určených pro vzdálený přístup mobilních uživatelů. Útočníci díky nim dokážou získat oprávnění na úrovni root, tedy nejvyšší možnou úroveň kontroly nad napadeným systémem, což jim otevírá cestu k dalšímu šíření škodlivého kódu v rámci firemní sítě.

SonicWall mobile access appliances slouží organizacím k zabezpečenému vzdálenému přístupu zaměstnanců k interním systémům a datům. Právě proto jsou tato zařízení pro útočníky atraktivním cílem – jejich kompromitace umožňuje obejít obvyklé bezpečnostní mechanismy a proniknout přímo do jádra firemní infrastruktury. Získání root-level oprávnění znamená, že útočník má nad zařízením prakticky neomezenou kontrolu, může upravovat konfiguraci, instalovat další nástroje nebo se pohybovat dál po síti bez větších překážek.

Podle dostupných informací útočníci zneužívají obě zero-day zranitelnosti v kombinaci, což jim umožňuje efektivně eskalovat oprávnění a následně nasadit ransomware. Tento typ útoku je obzvlášť nebezpečný právě proto, že cílí na perimetrová zařízení, která bývají v mnoha organizacích méně pod dohledem než klasické koncové stanice nebo servery. Pokud útočník ovládne přístupové zařízení, může se snadno stát odrazovým můstkem pro širší kompromitaci sítě, včetně kritických databází, souborových serverů či zálohovacích systémů.

Ransomware jako typ útoku funguje na principu zašifrování dat oběti, za jejichž zpřístupnění útočníci následně požadují výkupné. V případě zneužití zranitelností v síťových zařízeních, jako jsou právě SonicWall SMA appliances, navíc hrozí, že útočníci mohou mít přístup k síti dlouhodobě ještě předtím, než k samotnému zašifrování dat dojde. To jim dává prostor k průzkumu sítě, identifikaci nejcennějších dat a případně i k exfiltraci informací, které pak mohou sloužit jako dodatečná páka při vyjednávání o výkupném.

Zero-day zranitelnosti jsou z bezpečnostního hlediska nejzávažnější kategorií chyb, protože v době jejich zneužití ještě neexistuje oficiální oprava od výrobce. Organizace, které tato zařízení používají, tak byly vystaveny riziku ještě předtím, než se o problému vůbec vědělo. Až po odhalení útoků a analýze škodlivé aktivity mohou bezpečnostní týmy a výrobce zareagovat a připravit patch, který zranitelnost odstraní.

Zařízení SonicWall SMA se v minulosti již opakovaně stala terčem útočníků, kteří cílili na zranitelnosti v produktech pro vzdálený přístup. Tato zařízení jsou totiž typicky vystavena veřejnému internetu, aby mohla plnit svou funkci umožnění vzdáleného připojení, což je zároveň činí snadněji dosažitelným cílem pro potenciální útočníky ve srovnání se zařízeními chráněnými uvnitř firemní sítě.

Organizace využívající SonicWall mobile access appliances by měly věnovat zvýšenou pozornost bezpečnostním doporučením výrobce a sledovat, zda byly pro dotčené zranitelnosti vydány opravy. Doporučuje se také prověřit protokoly a záznamy o síťovém provozu, zda nedošlo k neobvyklé aktivitě, která by mohla naznačovat kompromitaci ještě před vydáním opravy. Vzhledem k tomu, že útoč