الفئة: استخبارات الخصمنوع التهديد: إمكانية الوصولالتحفيز: الماليةالمنطقة: عالميمصدر*: D4

ملخص تنفيذي

تهديدتأثيرتخفيف

• 170 وصولًا إلى SonicVPN للبيع في منتدى الجرائم الإلكترونية.
• يدعي ممثل التهديد أنه باع جميع عمليات الوصول البالغ عددها 170.

• يمكن أن تؤدي عمليات الوصول إلى تمكين الجهات الفاعلة الأخرى في مجال التهديد من الدخول إلى شبكات المنظمات.

• أعلنت SonicVPN عن أحدث التصحيحات الخاصة بها لعمليات الاستغلال المكتشفة حديثًا.
• تصحيح نقاط النهاية الضعيفة والقابلة للاستغلال.

كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر حدد منشورًا يعلن عن 170 زيارة لـ SonicVPN مقابل 2,000 دولار أمريكي. تستهدف الجهات الفاعلة في مجال التهديد SonicVPN بشكل متكرر، مما يعرض عمليات الوصول هذه لخطر كبير من الاستغلال.

التحليل والإسناد

معلومات من منتدى الجرائم الإلكترونية

• في 4 يونيو 2022، نشر أحد ممثلي التهديد منشورًا على منتدى الجرائم الإلكترونية، حيث أعلن عن 170 عملية وصول يُزعم أنها تنتمي إلى SonicVPN.
• كانت عمليات الوصول التي قدمها الممثل معروضة للبيع مقابل 2000 دولار أمريكي.
• في غضون ساعات قليلة من نشر المنشور، قام ممثل التهديد بتحديث أنه تم بيع جميع عمليات الوصول الـ 170، وأنه يمكن اعتبار الموضوع مغلقًا.

[معرف التسمية التوضيحية = «المرفق _19528" align= «alignnone» width="1306"] منشور ممثل التهديد على منتدى الجرائم الإلكترونية، يبيع وصول SonicVPN [/caption] [معرف التسمية التوضيحية = «المرفق _19529" align= «alignnone» width="1246"] مشاركة ممثل التهديد على منتدى الجرائم الإلكترونية، بعد بيع وصول SonicVPN [/caption]

الجهات الفاعلة في مجال التهديد تستهدف SonicVPN بنشاط في عام 2022

تستهدف الجهات الفاعلة في مجال التهديد شبكات VPN بنشاط لأنها تعمل كبوابات وصول أولية إلى الشركات. نظرًا للطلب على الوصول إلى SonicVPN بين مجموعات برامج الفدية، قام وسطاء الوصول الأولي (iAbs) بالإعلان عن وصول SonicVPN عبر منتديات الجرائم الإلكترونية. أمثلة على المنشورات على منتديات الجرائم الإلكترونية التي تستهدف أجهزة SonicWall:

استغلال SonicWall SSL/VPN للبيع في منتدى الجرائم الإلكترونية

• التاريخ: 09 فبراير 2022
• المنشور: بعد الكشف عن ثغرة SonicWall، تم العثور على ممثل تهديد يعرض عمليات استغلال باستخدام لوحة مخصصة. تأتي هذه اللوحة مع أخطاء محسنة وزيادة السرعة والاستقرار.
• التأثير: يمكن للجهات الفاعلة في مجال التهديد شراء هذا الاستغلال واللوحة المخصصة لتنفيذ هجمات تجاوز سعة المخزن المؤقت القائمة على المكدس على الضحايا.

تمت مشاركة أكثر من 300 وصول إلى SonicVPN بواسطة ممثل التهديد

• التاريخ: 24 فبراير 2022
• المنشور: قام أحد ممثلي التهديد بإلغاء محركات البحث مثل Shodan وانتهاكات البيانات الخاصة، وشارك قائمة بأكثر من 300 وصول إلى SonicVPN.
• التأثير: يمكن للجهات الفاعلة في مجال التهديد استخدام هذه البيانات لاستهداف 300 مستخدم/منظمة تستخدم SonicVPN.

ممثل التهديد يبيع البرامج النصية للبحث عن مثيلات SonicVPN الضعيفة

• التاريخ: 12 أبريل 2022
• المنشور: كان أحد ممثلي التهديد يبيع نصًا يوفر مسحًا شاملاً وآليًا لشبكات Forti و SonicWall بحثًا عن نقاط الضعف وللتحقق من صحة الائتمان. عندما يتم توفير قائمة ببيانات اعتماد IP إلى البرنامج النصي Python، فإنها تجلب أدلة السجل.
• التأثير: يمكن للجهات الفاعلة في مجال التهديد استخدام هذا البرنامج النصي لتحديد حالات SonicWall الضعيفة واستهدافها.

[معرف التسمية التوضيحية = «المرفق _19530" align= «alignnone» width="1302"] المجموعات التي تسعى بنشاط للوصول إلى SonicVPN [/caption] تعلن iAbs في منتديات الجرائم الإلكترونية بنشاط عن بيع وصول SonicVPN إلى المؤسسات عبر المناطق والصناعات ونطاقات الإيرادات. [معرف التسمية التوضيحية = «المرفق _19531" align= «alignnone» width="1305"] يقوم وسطاء الوصول الأولي بالإعلان بنشاط عن بيع SonicVPN [/caption]

نقاط الضعف الأخيرة في SonicVPN/جدار حماية سونيك

تم الكشف مؤخرًا عن نقاط الضعف في SonicVPN وجدار حماية Sonic. يمكن للجهات الفاعلة في مجال التهديد استغلال نقاط الضعف هذه باستخدام الماسحات الضوئية الجماعية والاستفادة من إثبات المفاهيم المباعة أو المشتركة في منتديات الجرائم الإلكترونية.

CVE-2022-22274

• درجة CVSS: 9.4
• المنتج المتأثر: SoniCOS
• الثغرة الأمنية: تم العثور على العديد من أجهزة جدار الحماية عرضة لثغرة تجاوز سعة المخزن المؤقت القائمة على المكدس والتي يمكن أن تتسبب في تنفيذ التعليمات البرمجية أو هجمات DoS عبر طلب HTTP.

CVE-2022-0778

• درجة CVSS: 7.5
• المنتجات المتأثرة: أجهزة سونيك وول إيدج (NGFW، SMA) وعملاء VPN
• الثغرة الأمنية: تم اكتشاف ثغرة رفض الخدمة في مكتبة OpenSSL، بسبب شهادة مصممة خصيصًا بمعامل منحنى بيضاوي غير صالح يؤدي إلى حلقة لا نهائية.

CVE-2022-22282

• درجة CVSS: 8.2
• المنتجات المتأثرة: سونيك وول SSL VPN SMA1000
• الثغرة الأمنية: الوصول المقيد بشكل غير صحيح إلى مورد باستخدام اتصالات HTTP من جهة غير مصرح بها مما يؤدي إلى ثغرة أمنية في التحكم في الوصول غير السليم.

CVE-2022-1701

• درجة CVSS: 5.7
• المنتجات المتأثرة: سونيك وول SSL VPN SMA1000
• الثغرة الأمنية: استخدام مفتاح تشفير مشترك ومشفر.

CVE-2022-1702

• درجة CVSS: 6.1
• المنتجات المتأثرة: سونيك وول SSL VPN SMA1000
• الثغرة الأمنية: تقبل الإدخال الذي يتحكم فيه المستخدم والذي يحدد ارتباطًا إلى موقع خارجي ويستخدم هذا الارتباط في إعادة التوجيه مما يؤدي إلى ثغرة أمنية في إعادة التوجيه المفتوح.

التأثير والتخفيف

التأثيرالتخفيف

• يمكن لبيانات اعتماد VPN تمكين المهاجمين الآخرين من الوصول إلى شبكات المؤسسات.
• يمكن لمعلومات التعريف الشخصية المكشوفة (PII) تمكين الجهات الفاعلة في مجال التهديد من تنسيق مخططات الهندسة الاجتماعية وهجمات التصيد الاحتيالي وحتى سرقة الهوية.
• يمكن أن تكشف التفاصيل السرية المكشوفة عن الممارسات التجارية والملكية الفكرية.
• يمكن أن يجهز الجهات الفاعلة الضارة لشن هجمات برامج الفدية المعقدة.

• قم بتحديث SonicVPN بأحدث التصحيحات لعمليات الاستغلال المكتشفة حديثًا.
• تحقق من الحلول والتصحيحات الممكنة مع إبقاء المنافذ مفتوحة.
• قم بتطبيق سياسة كلمة مرور قوية وتمكين MFA (المصادقة متعددة العوامل) عبر عمليات تسجيل الدخول.
• قم بتصحيح نقاط النهاية الضعيفة والقابلة للاستغلال.
• راقب الحالات الشاذة في حسابات المستخدمين، والتي قد تشير إلى عمليات استحواذ محتملة للحساب.

المراجع

• *https://en.wikipedia.org/wiki/Intelligence_source_and_information_reliability
• ^#https://en.wikipedia.org/wiki/Traffic_Light_Protocol
• https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0009