Gruba cyber-operacja o zasięgu globalnym. Przejęte dostępy do VPN w ~1700 dużych firmach na całym Świecie

Systemy (serwery) VPN zazwyczaj są wystawione do Internetu (bo muszą), co jednak gdy ktoś zlokalizuje podatność umożliwiającą przejęcie serwera (urządzenia) VPN i to bez uwierzytelnienia? No może samo zlokalizowanie jeszcze niewiele zmienia, ale aktywna exploitacja już tak.

Po tym wstępie przechodzimy do podatności, którą niedawno zaznaczaliśmy na sekuraku (dwa zero daye umożliwiają zdalne przejęcie kontroli nad urządzeniem VPN (Ivanti Connect Secure / Pulse Secure). Podatności są już wykorzystywane w dziczy).

Z najnowszych informacji wiemy, że pewna grupa APT (wskazuje się na Chiny) przejęła dostęp do minimum 1700 urządzeń tego typu na całym świecie – jak widać, są też trafienia w Polsce. Przy czym trudno jednoznacznie wnioskować czy bardziej chodzi tu o „jedno”, „dziesięć” czy „dwadzieścia” przejętych urządzeń w naszym kraju:

Wśród zainfekowanych instytucji badacze wymieniają podmioty z branż:

• instytucje rządowe / wojskowe
• firmy telekomunikacyjne
• dostawcy sektora obronnegob
• bankowość, finanse i rachunkowość
• firmy doradcze
• przemysł lotniczy, lotnictwo i inżynieria

Dodatkowo, Rapid7 udostępnił techniczną analizę problemu. Mamy w tym przypadku do czynienia z dwoma problemami. Pierwszy polega na zauważeniu, że następujące żądanie do API na urządzeniu nie wymaga uwierzytelnienia (ale też nie realizuje nic „złego”).

/api/v1/totp/user-backup-code

Jednak tym trickiem można bez uwierzytelnienia dostawać się do dowolnej funkcji API (dla przykładu – do /api/v1/system/system-information):

/api/v1/totp/user-backup-code/../../system/system-information

Drugi krok to znalezienie podatności command injection w dowolnej funkcji API (które jak już wiemy można wołać bez uwierzytelnienia). Jak się okazuje, można zrobić to w dość prosty sposób (CMD poniżej to dowolne polecenie Linuksowe)

/api/v1/totp/user-backup-code/../../license/keys-status/;CMD;

Jakie uprawnienia mamy w OS wykonując to polecenie? Tak, zgadliście, root:

Aaaale przecież mamy 2FA przy dostępie do VPN – ktoś zaprotestuje. W tym przypadku nic to nie daje, ponieważ atak zupełnie omija uwierzytelnienie. Mając z kolei dostęp na root na urządzeniu do VPN mamy de facto dostęp jak każdy logujący się via VPN.

Podatność ta jest aktywnie wykorzystywana i stanowi jako pierwszy punkt wejścia, przed dalszą exploitacją sieci.

Warto spojrzeć też na ten wpis (który m.in. wskazuje jak sprawdzić, czy nie zostaliśmy zainfekowani).

~ms