E安全4月8日訊，自從冠狀病毒(COVID-19)爆發(fā)以來(lái)，由于遠(yuǎn)程辦公的必要需求，企業(yè)VPN使用量增加了33%，這也成為黑客發(fā)起攻擊的一個(gè)突破口。據(jù)相關(guān)媒體報(bào)道，與韓國(guó)有聯(lián)系的威脅組織利用零日漏洞攻擊了某中國(guó)政府機(jī)構(gòu)，該漏洞影響了境內(nèi)VPN服務(wù)。數(shù)據(jù)顯示，從3月開(kāi)始，DarkHotel組織就已經(jīng)鎖定了許多中國(guó)機(jī)構(gòu)。
據(jù)悉，攻擊者利用深信服VPN服務(wù)中一個(gè)安全漏洞來(lái)傳播后門惡意軟件。對(duì)此，深信服表示，黑客利用VPN客戶端更新過(guò)程中的漏洞，用后門取代了合法的更新，黑客大約攻擊了200個(gè)VPN服務(wù)器并注入惡意軟件。這些攻擊主要針對(duì)的是中國(guó)的組織以及一些其他國(guó)家在中國(guó)設(shè)立的機(jī)構(gòu)。事件發(fā)生后，深信服科技立刻發(fā)布了一則《關(guān)于境外非法組織利用深信服SSL VPN設(shè)備下發(fā)惡意文件并發(fā)起APT攻擊活動(dòng)的說(shuō)明》，說(shuō)明了境外APT組織通過(guò)深信服VPN設(shè)備漏洞拿到權(quán)限后，進(jìn)一步利用SSL VPN設(shè)備Windows客戶端升級(jí)模塊簽名驗(yàn)證機(jī)制的缺陷植入后門的APT攻擊活動(dòng)過(guò)程。
其實(shí)，在過(guò)去的2019年是許多企業(yè)VPN服務(wù)器，例如Pulse Secure、Palo Alto Networks、Fortinet、Cisco和Citrix等VPN服務(wù)器，被披露有嚴(yán)重安全漏洞的一年。
早在去年九月份，英國(guó)國(guó)家網(wǎng)絡(luò)安全中心(NCSC)就發(fā)表報(bào)告稱，他們正在研究有高級(jí)持久威脅(APT)參與者利用已知漏洞入侵供應(yīng)商Pulse Secure、Fortinet、Palo Alto和Citrix的虛擬專用網(wǎng)VPN產(chǎn)品。當(dāng)時(shí)該活動(dòng)也被認(rèn)為是由某國(guó)政府主導(dǎo)的，攻擊是針對(duì)英國(guó)和國(guó)際組織發(fā)起的，受影響的部門包括政府，軍事，學(xué)術(shù)，商業(yè)和醫(yī)療保健。事件發(fā)生后，這些VPN漏洞已在開(kāi)放源代碼中得到了充分記錄，通過(guò)行業(yè)數(shù)據(jù)表明，數(shù)百名英國(guó)主機(jī)可能會(huì)受到攻擊。 據(jù)悉，當(dāng)時(shí)攻擊影響了：
Pulse Connect Secure VPN兩個(gè)漏洞是CVE-2019-11510和CVE-2019-11539;
Fortinet的Fortigate設(shè)備中的三個(gè)漏洞CVE-2018-13379，CVE-2018-13382和CVE-2018-13383;
Palo Alto的GlobalProtect門戶和GlobalProtect網(wǎng)關(guān)接口產(chǎn)品CVE-2019-1579中的嚴(yán)重遠(yuǎn)程執(zhí)行代碼錯(cuò)誤。
Citrix“ ADC” VPN中披露的漏洞CVE-2019-19781
也是在去年九月份，SafeBreach Labs的研究人員在Forcepoint VPN客戶端中發(fā)現(xiàn)了一處特權(quán)升級(jí)漏洞。受影響的產(chǎn)品為Forcepoint VPN Client for Windows軟件的6.6.0及更低版。該漏洞不僅可用于提升攻擊者的特權(quán)，還將允許攻擊者長(zhǎng)期訪問(wèn)受感染系統(tǒng)。據(jù)了解，該VPN程序的可執(zhí)行程序的路徑和命令行中的參數(shù)之間缺少引號(hào)字符串當(dāng)黑客在C：\Program.exe和C： \Program Files(x86)\Forcepoint \ VPN.exe 中植入惡意程序時(shí)，該VPN程序?qū)⒆詣?dòng)執(zhí)行惡意程序，并將黑客權(quán)限提升至系統(tǒng)級(jí)。
2019年的四月份，美國(guó)政府網(wǎng)絡(luò)安全和基礎(chǔ)架構(gòu)安全局(CISA)發(fā)出警報(bào)，由四個(gè)供應(yīng)商Cisco, F5 Networks, Palo Alto Networks和 Pulse Secure 構(gòu)建的VPN應(yīng)用存在嚴(yán)重漏洞。通過(guò)該漏洞，攻擊者可以通過(guò)訪問(wèn)身份驗(yàn)證或會(huì)話令牌，重播數(shù)據(jù)信息以欺騙用戶的VPN會(huì)話，并以用戶身份獲得VPN訪問(wèn)權(quán)限對(duì)系統(tǒng)進(jìn)行入侵。
同時(shí)，隨著世界各地實(shí)行國(guó)家隔離，大多數(shù)用戶被困在家里，越來(lái)越多的用戶在家中瀏覽Internet時(shí)也會(huì)使用VPN應(yīng)用程序繞過(guò)地理保護(hù)。這也就造成消費(fèi)者級(jí)VPN的使用量也出現(xiàn)了快速激增，在這樣的環(huán)境下黑客會(huì)花費(fèi)更多的時(shí)間來(lái)研究對(duì)VPN的攻擊。
對(duì)于預(yù)防黑客的VPN攻擊，Ramakrishna與Gartner的技術(shù)研究人員一起建議政府和企業(yè)組織應(yīng)該考慮向VPN 添加軟件定義的外圍安全系統(tǒng)(SDP)，以便系統(tǒng)可以擴(kuò)展其整體安全體系結(jié)構(gòu)，以實(shí)現(xiàn)公司內(nèi)部網(wǎng)絡(luò)可以直接到應(yīng)用程序的訪問(wèn)，以降低受到黑客攻擊的可能性。
E觀點(diǎn)
隨著越來(lái)越多公司和個(gè)人對(duì)VPN使用需求的快速增加，用戶在使用VPN時(shí)如何保護(hù)自身網(wǎng)絡(luò)安全成為了時(shí)下高度關(guān)注的問(wèn)題之一。來(lái)自于安恒信息的應(yīng)急響應(yīng)專家Vexs Xu建議，對(duì)于VPN的安全使用，首先行業(yè)對(duì)VPN的管控要規(guī)范，遵循安全合規(guī)和最佳實(shí)踐，比如VPN用戶賬號(hào)的分配，密碼的強(qiáng)度等都要符合比較高的安全策略，限制這類高權(quán)限賬號(hào)的隨意創(chuàng)建，如果管理端口要向互聯(lián)網(wǎng)開(kāi)發(fā)，要嚴(yán)格限制對(duì)其訪問(wèn)的IP地址。與此同時(shí)，對(duì)VPN設(shè)備本身，用戶要注意廠商發(fā)布的安全更新補(bǔ)丁，如果有提示安全補(bǔ)丁更新，先備份好設(shè)備數(shù)據(jù)然后安裝安全更新補(bǔ)丁，建議定期巡檢設(shè)備，主動(dòng)發(fā)現(xiàn)是否有安全更新補(bǔ)丁需要安裝。其次，對(duì)VPN設(shè)備進(jìn)行操作審計(jì)，比如開(kāi)啟設(shè)備日志記錄，并定期分析日志中是否有異常訪問(wèn)或操作記錄，特別是對(duì)高權(quán)限的管理員用戶的操作記錄，如發(fā)現(xiàn)有異常要展開(kāi)排查確保風(fēng)險(xiǎn)的解除。
