Поставщик решений кибербезопасности SonicWall сообщил об киберинциденте, затронувшем его облачный сервис резервного копирования для межсетевых экранов. Злоумышленники получили доступ к файлам настроек примерно для 5% брандмауэров.
Компания предупредила, что, хотя учётные данные зашифрованы, в файлах содержится другая информация, которая может позволить хакерам использовать соответствующий межсетевой экран в будущем: «Это не было связано с программой-вымогателем или аналогичным инцидентом с SonicWall, а скорее с серией атак методом подбора, направленных на получение доступа к файлам настроек, хранящимся в резервной копии».
Для анализа последствий атаки всем пользователям брандмауэра SonicWall рекомендовано войти на сайт MySonicWall.com и проверить, включено ли для их продуктов резервное копирование в облаке и не попали ли сведения о серийных номерах их межсетевых кранов в скомпрометированную информацию. Если да, то брандмауэры находятся под угрозой, и следует предпринять меры по сдерживанию.
Пострадавшие клиенты в первую очередь должны отключить сервисы из WAN или ограничить к ним доступ. Для устранения последствий SonicWall разработала структурированный контрольный список, который гарантирует регулярное обновление всех соответствующих паролей, ключей и секретных данных, причём критически важные элементы перечислены в первую очередь. Также необходимо проверить журналы на предмет недавних изменений конфигурации межсетевых экранов или необычной активности.
Те, кого затронул инцидент, получат новый файл настроек для импорта в свой брандмауэр. Он рандомизирует пароли, ключи IPSec VPN и сбрасывает привязку одноразового пароля с ограниченным сроком действия, если она включена.
Описанный кейс стал следствием серии атак на продукты SonicWall, произошедших в последние месяцы. Компания недавно опубликовала сообщение, в котором говорилось, что злоумышленники активно эксплуатируют критическую уязвимость в системе управления доступом SonicOS и SSLVPN SonicWall.
Усам Оздемиров
