Компания Cisco предупреждает о массовых брутфорс-атаках, нацеленных на VPN- и SSH-сервисы на устройствах Cisco, CheckPoint, Fortinet, SonicWall и Ubiquiti по всему миру.
По данным ИБ-специалистов Cisco Talos, в новой кампании для перебора используются как настоящие, так и типовые учетные данные сотрудников, связанных с конкретными организациями.
Атаки начались еще 18 марта 2024 года, и все они исходят от выходных узлов Tor и других инструментов для анонимизации, а также прокси-серверов, которые злоумышленники используют для обхода блокировок. Так, для проведения атак используются такие сервисы, как Tor, VPN Gate, IPIDEA Proxy, BigMama Proxy, Space Proxies, Nexus Proxy и Proxy Rack.
«В зависимости от целевой среды успешные атаки такого типа могут привести к несанкционированному доступу к сети, блокировке учетных записей или отказу в обслуживании, — предупреждают в Cisco Talos. — Объем трафика, связанного с этими атаками, со временем увеличился и, скорее всего, продолжит расти».
Исследователи сообщают, что атакам активно подвергаются:
• Cisco Secure Firewall VPN;
• Checkpoint VPN;
• Fortinet VPN;
• SonicWall VPN;
• RD Web Services;
• Miktrotik;
• Draytek;
• Ubiquiti.
При этом злоумышленники не нацеливаются на конкретные отрасли и регионы, а атаки носят случайный, оппортунистический характер.
Эксперты опубликовали на GitHub полный список индикаторов компрометации (IoC), включая IP-адреса злоумышленников и список имен пользователей и паролей, использованных в атаках. В целом в атаках задействованы более 2000 имен пользователей и около 100 паролей, а также около 4000 IP-адресов.
Интересно, что в конце марта Cisco уже предупреждала о похожей брутфорс-активности, связанной с ботнетом Brutus, который использовал password spray атаки, нацеленные на службы Remote Access VPN (RAVPN) на устройствах Cisco Secure Firewall.
Теперь в компании говорят, что в настоящее время нет убедительных доказательств, позволяющих связать эти атаки друг с другом и конкретными злоумышленниками, однако технические совпадения присутствуют как в способах проведения атак, так и в используемой инфраструктуре.
