Peretas melewati SonicWall VPN MFA karena patching yang tidak lengkap

Pelaku ancaman memaksa kredensial VPN dan melewati otentikasi multi-faktor (MFA) pada peralatan SSL-VPN SonicWall Gen6 untuk menyebarkan alat yang digunakan dalam serangan ransomware.

Selama intrusi, peretas membutuhkan waktu antara 30 dan 60 menit untuk masuk, melakukan pengintaian jaringan, menguji penggunaan kembali kredensial pada sistem internal, dan keluar.

SonicWall memperingatkan dalam penasihat keamanan untuk CVE-2024-12802 bahwa menginstal pembaruan firmware saja pada perangkat Gen6 tidak sepenuhnya mengurangi kerentanan, dan diperlukan konfigurasi ulang server LDAP secara manual. Kegagalan untuk melakukan hal ini membuka kemungkinan untuk melewati perlindungan MFA.

Para peneliti di perusahaan keamanan siber ReliaQuest menanggapi berbagai intrusi antara bulan Februari dan Maret, dan menilai “dengan keyakinan sedang bahwa ini adalah eksploitasi pertama CVE-2024-12802 yang menargetkan perangkat SonicWall di berbagai lingkungan.”

Para peneliti mencatat bahwa, di lingkungan yang mereka selidiki, perangkat tampaknya telah di-patch karena menjalankan firmware yang diperbarui, namun perangkat tersebut tetap rentan karena langkah-langkah remediasi yang diperlukan belum diselesaikan.

Pada perangkat Gen7 dan Gen8, memperbarui ke versi firmware yang lebih baru saja sudah cukup untuk sepenuhnya menghilangkan risiko eksploitasi CVE-2024-12802.

Aktivitas eksploitasi

ReliaQuest mengatakan bahwa dalam satu insiden, peretas memperoleh akses ke jaringan internal dan mencapai server file yang bergabung dengan domain hanya dalam waktu setengah jam. Kemudian mereka membuat koneksi jarak jauh melalui RDP menggunakan kata sandi administrator lokal bersama.

Para peneliti menemukan bahwa penyerang mencoba menyebarkan Cobalt Strike beacon, kerangka kerja pasca-eksploitasi untuk komunikasi perintah-dan-kontrol (C2), dan driver yang rentan, kemungkinan besar akan menonaktifkan perlindungan titik akhir menggunakan teknik Bring Your Own Vulnerable Driver (BYOVD).

Namun, solusi deteksi dan respons titik akhir (EDR) yang diinstal memblokir suar dan pemuatan driver.

Berdasarkan tindakan logout yang disengaja dan login lagi beberapa hari kemudian, terkadang menggunakan akun yang berbeda, para peneliti percaya bahwa pelaku ancaman adalah broker yang menjual akses awal ke kelompok ancaman.

Tahun lalu, Geng ransomware Akira menargetkan perangkat SonicWall SSL VPN dan masuk meskipun MFA diaktifkan pada akun, namun metodenya tidak dikonfirmasi.

Mengatasi CVE-2024-12802

Itu CVE-2024-12802 kerentanan ini disebabkan oleh hilangnya penegakan MFA untuk format login UPN, sehingga memungkinkan penyerang dengan kredensial yang valid untuk mengautentikasi secara langsung dan melewati persyaratan MFA.

Perangkat SonicWall Gen6 harus diperbarui dengan firmware terbaru, lalu ikuti langkah-langkah perbaikan yang dirinci dalam penasehat vendor:

1. Hapus konfigurasi LDAP yang ada menggunakan userPrincipalName di kolom “Nama login yang memenuhi syarat”.
2. Hapus pengguna LDAP yang di-cache/terdaftar secara lokal
3. Hapus “Domain Pengguna” SSL VPN yang dikonfigurasi (kembali ke Domain Lokal)
4. Nyalakan ulang firewallnya
5. Buat ulang konfigurasi LDAP tanpa userPrincipalName di “Nama login yang memenuhi syarat”
6. Buat cadangan baru untuk menghindari pemulihan konfigurasi LDAP yang rentan di kemudian hari

Para peneliti memiliki keyakinan tinggi bahwa pelaku ancaman di balik intrusi yang dianalisis memperoleh akses awal dengan mengeksploitasi kerentanan CVE-2024-12802 “di berbagai sektor dan geografi.”

Menurut ReliaQuest, upaya login nakal yang diamati dalam insiden yang diselidiki masih tampak sebagai aliran MFA normal dalam log, sehingga membuat para pembela HAM percaya bahwa MFA berhasil meskipun gagal.

Para peneliti mengatakan bahwa sinyal sess=”CLI” adalah indikator kunci dari serangan ini, yang menyarankan otentikasi VPN yang terprogram atau otomatis, dan merekomendasikan agar administrator mencarinya.

Sinyal kuat lainnya adalah ID peristiwa 238 dan 1080, dan login VPN dari infrastruktur VPS/VPN yang mencurigakan.

Mengingat peralatan SSL-VPN Gen6 telah mencapai akhir masa pakainya tahun ini pada tanggal 16 April, dan tidak lagi menerima pembaruan keamanan, secara umum disarankan untuk beralih ke versi yang lebih baru dan didukung secara aktif.