A inicios de este año, el equipo de respuesta de seguridad de Tenable (SRT) publicó el informe Retrospectiva del panorama de amenazas (TLR), el cual examina las principales tendencias de 2020. Una de esas tendencias fue la popularidad de las vulnerabilidades de la red privada virtual (VPN) de capa de sockets seguros (SSL) con actores de amenazas. El estudio destacó específicamente que tres vulnerabilidades críticas de SSL VPN que se han convertido en algunas de las más explotadas por grupos de ransomware y actores de amenazas persistentes avanzadas.
- CVE-2019-19781, Citrix Application Delivery Controller (ADC), puerta de enlace y SD-WAN WANOP
- CVE-2019-11510, Pulse Connect Secure SSL VPN
- CVE-2018-13379 Fortinet Fortigate SSL VPN
Para dar prioridad de manera efectiva los esfuerzos de remediación, los defensores deben comprender cómo los atacantes están apuntando a las organizaciones y luego actuar en base a ese conocimiento. Las vulnerabilidades en los productos SSL VPN son de las más explotadas por los atacantes para el acceso inicial a las redes objetivo, actuando como una puerta para la explotación. Para defender las redes empresariales distribuidas, los equipos deben asegurarse de que sus productos VPN SSL estén completamente actualizados y configurados correctamente para mantener alejados a los atacantes.
Aunque ser de conocimiento común, vale la pena repetir que los actores de amenazas habitualmente explotan vulnerabilidades más antiguas para las que hay exploit o código PoC disponible.
Todos los productos descritos en la investigación han sido atacados por grupos de ransomware para obtener una entrada inicial a las redes. En la mayoría de los grupos de ransomware modernos operan como un ransomware-as-a-service, en donde proporcionan el malware y la infraestructura, pero dependen de los afiliados para obtener acceso a las organizaciones a fin de implementar su ransomware. Los afiliados utilizan una variedad de métodos para ingresar.
A causa de que las VPN SSL dan una puerta de entrada a las organizaciones, los afiliados de ransomware continuarán atacando estas fallas sin parchear hasta que las organizaciones tomen medidas para reforzar estos puntos de entrada parchando las vulnerabilidades en los productos VPN SSL.
Si bien, el enfoque se encuentras en algunas vulnerabilidades específicas, la lección importante es que el mantenimiento y parcheo de rutina para las VPN SSL es un aspecto absolutamente crítico de la higiene cibernética. Otras tres vulnerabilidades en Citrix ADC, Gateway y SD-WAN (CVE-2020-8193, CVE-2020-8195 y CVE-2020-8196) fueron explotadas por atacantes el año pasado, incluidos los actores de amenazas chinos que atacaron las vulnerabilidades que se descubrieron en el documento.
Los actores de amenazas además han explotado múltiples vulnerabilidades en Pulse Connect Secure y Fortinet, incluso si mostraron una preferencia por algunas vulnerabilidades específicas. Las vulnerabilidades de Pulse Connect Secure son particularmente favorecidas por los actores de amenazas.
Existen por lo menos 16 familias de malware que se han desarrollado para aprovechar las vulnerabilidades en Pulse Connect Secure, lo que solidifica aún más el valor de las fallas heredadas en las VPN SSL para ciber-delincuentes y grupos APT. Fortinet, CVE-2018-13383 y CVE-2018-13382 podrían ser valiosas para los atacantes, particularmente en cadenas de exploits. Ambas vulnerabilidades fueron explotadas por grupos APT.
Sin embargo al abordar estas vulnerabilidades persistentemente explotadas en las VPN SSL es, quizás, la decisión de priorización más fácil para todas las organizaciones. Los parches han estado disponibles para estas vulnerabilidades durante años; atacantes de todo tipo los han estado apuntando durante el mismo tiempo.
Agencias gubernamentales han emitido múltiples alertas que abogan por una acción inmediata. La creación de ventanas de mantenimiento para actualizar las VPN SSL puede ser difícil, especialmente con trabajadores remotos distribuidos en zonas horarias. Pero si su organización utiliza uno de estos productos y aún no ha parchado las vulnerabilidades relevantes, desarrolle un plan ahora mismo para abordarlo. El riesgo es difícil de subestimar.
Puede encontrar una lista de complementos de Tenable para identificar todas las vulnerabilidades discutidas en esta publicación dando clic aquí. Además, muchos de estos CVE están incluidos en la política de escaneo retrospectivo del panorama de amenazas 2020, que se puede utilizar para escaneos específicos de los CVE cubiertos en el informe TLR.