موج جدید تلاش‌های ورود VPN هدف‌گیری پورتال‌های Palo Alto GlobalProtect

یک کمپین گسترده از دوم دسامبر آغاز شده که درگاه‌های GlobalProtect شرکت پالو آلتو را با تلاش‌های ورود هدف قرار داده و فعالیت اسکن علیه نقاط پایانی API سیستم‌عامل SonicOS شرکت سونیک‌وال راه‌اندازی کرده است. این حملات از بیش از ۷۰۰۰ آدرس IP منشأ گرفته که متعلق به زیرساخت شرکت آلمانی 3xK GmbH است. شرکت اطلاعات تهدیدات GreyNoise اعلام کرد که مهاجمان ابتدا درگاه‌های GlobalProtect را با حملات brute-force و تلاش‌های ورود هدف قرار دادند و سپس به اسکن نقاط پایانی API سونیک‌وال روی آوردند. GlobalProtect که جزء VPN و دسترسی از راه دور پلتفرم فایروال پالو آلتو است، توسط شرکت‌های بزرگ، سازمان‌های دولتی و ارائه‌دهندگان خدمات استفاده می‌شود.

پالو آلتو نتورکس تأیید کرد که این فعالیت‌ها نشان‌دهنده حملات مبتنی بر اعتبارنامه است نه بهره‌برداری از آسیب‌پذیری نرم‌افزاری، و محصولات یا خدمات این شرکت به خطر نیفتاده‌اند. تحلیل‌ها نشان می‌دهد که ۶۲ درصد آدرس‌های IP مهاجم در آلمان قرار داشته و از fingerprint های TCP/JA4t یکسانی استفاده کرده‌اند. GreyNoise هشدار داد که اسکن نقاط پایانی SonicOS معمولاً برای شناسایی آسیب‌پذیری‌ها و پیکربندی‌های نادرست انجام می‌شود و ممکن است برای آماده‌سازی بهره‌برداری از نقص‌های آینده باشد. پالو آلتو به مشتریان توصیه کرد احراز هویت چندعاملی (MFA) را برای محافظت در برابر سوءاستفاده از اعتبارنامه اجرا کنند.