กลุ่ม Fog Ransomware มุ่งโจมตีช่องโหว่ SonicWall VPN เพื่อเข้าถึงเครือข่ายของเป้าหมาย

    ผู้เชี่ยวชาญด้านความปลอดภัยของ Arctic Wolf ได้ออกมาเดเผลถึงการมีอยู่ของกลุ่ม Fog และ Akira ransomware ที่มุ่งเป้าหมายการโจมตีเพื่อเข้าถึงเครือข่ายโดยใช้ SonicWall VPN account จากช่องโหว่ SSL VPN access control (CVE-2024-40766)

    โดย SonicWall ได้แก้ไขช่องโหว่ SonicOS ดังกล่าว ในช่วงปลายเดือนสิงหาคม 2024 และประมาณหนึ่งสัปดาห์ต่อมา ก็ได้แจ้งเตือนว่าช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตีแล้ว

    Fog ransomware เปิดตัวในเดือนพฤษภาคม 2024 และเป็นกลุ่มที่กำลังเติบโตอย่างต่อเนื่อง และมีพันธมิตรเป็นกลุ่มอื่น ๆ ที่มักจะใช้ข้อมูล VPN credentials ที่ถูกขโมยมาใช้เพื่อเข้าถึงระบบ

Akira ransomware เป็นกลุ่มที่มีชื่อเสียงในวงการ ransomware ซึ่งได้ประสบปัญหาในการเข้าถึงเว็บไซต์ Tor เมื่อไม่นานนี้ แต่ปัจจุบันได้กลับมาออนไลน์อีกครั้งแล้ว

    ผู้เชี่ยวชาญรายงานว่ากลุ่ม Fog และ Akira ransomware ได้ดำเนินการโจมตีเป้าหมายอย่างน้อย 30 ครั้ง โดยทั้งหมดเริ่มต้นจากการเข้าถึงเครือข่ายจากระยะไกลผ่าน VPN account ของ SonicWall ในจำนวนนี้ 75% เชื่อมโยงกับกลุ่ม Akira ส่วนที่เหลือเชื่อมโยงกับกลุ่ม Akira ransomware ทั้งนี้สิ่งที่น่าสนใจคือ กลุ่ม ransomware ทั้ง 2 กลุ่มนี้มีการใช้ infrastructure ร่วมกันแสดงถึงความร่วมมืออย่างไม่เป็นทางการ ตามที่ Sophos ได้เคยเผยพร่ไปก่อนหน้านี้

    แม้ว่าผู้เชี่ยวชาญจะไม่แน่ใจ 100% ว่าช่องโหว่ดังกล่าวสามารถถูกใช้ได้ในทุกกรณี แต่ระบบที่ถูกโจมตีทั้งหมดก็มีความเสี่ยงต่อช่องโหว่ดังกล่าว เนื่องจากใช้เวอร์ชันเก่าที่มีช่องโหว่ และไม่ได้รับการแก้ไข

ในกรณีส่วนใหญ่ เวลาตั้งแต่เกิดการโจมตีจนถึงการเข้ารหัสข้อมูลนั้นใช้เวลาสั้นมาก ประมาณ 10 ชั่วโมง และเวลาที่เร็วที่สุดคือ 1.5-2 ชั่วโมง โดยในการโจมตี Hacker จะใช้วิธีการ Obfuscating เพื่อซ่อน IP addresses ที่แท้จริง

    Arctic Wolf ระบุว่า นอกเหนือจากการโจมตีผ่านอุปกรณ์ที่มีช่องโหว่แล้ว พบว่าองค์กรที่ถูกโจมตีไม่ได้เปิดใช้งาน multi-factor authentication (MFA) บน SSL VPN account ที่ถูกโจมตี และไม่ได้ถูกใช้งานผ่าน default port 4433 อีกด้วย

    ทั้งนี้ Artic Wolf อธิบายว่า ในกรณีที่ถูกโจมตี สามารถดูได้ผ่าน firewall log ซึ่งจะตรวจพบ event ID 238 (WAN zone remote user login allowed) หรือ event ID 1080 (SSL VPN zone remote user login allowed) หลังจากนั้นก็จะตามมาด้วยข้อความ SSL VPN INFO log หลายรายการ (event ID 1079) ที่ระบุว่าการเข้าสู่ระบบ และการกำหนด IP เสร็จสมบูรณ์แล้ว

    ในขั้นตอนต่อมา Hacker จะทำการโจมตีแบบเข้ารหัสอย่างรวดเร็ว โดยมุ่งเป้าไปที่ virtual machine และ backup server เป็นหลัก รวมถึงทำการขโมยข้อมูลที่เกี่ยวข้องกับเอกสาร และซอฟต์แวร์ที่เป็นกรรมสิทธิ์ แต่จะยกเว้นไฟล์ที่มีอายุมากกว่า 6 เดือน หรือ 30 เดือน ในส่วนของ sensitive files

Ref : bleepingcomputer.com

ช่องโหว่ในการเข้าถึง SSLVPN ของ SonicWall ถูกใช้ในการโจมตี

    SonicWall กำลังเตือนว่าช่องโหว่ในการควบคุมการเข้าถึงที่เพิ่งได้รับการแก้ไขซึ่งติดตามด้วยรหัส CVE-2024-40766 ใน SonicOS ขณะนี้อาจถูกนำไปใช้ในการโจมตี โดยเรียกร้องให้ผู้ดูแลระบบทำการติดตั้งแพตช์โดยเร็วที่สุด

    “ช่องโหว่นี้อาจกำลังถูกนำไปใช้โจมตีในขณะนี้ กรุณาติดตั้งแพตช์สำหรับผลิตภัณฑ์ที่ได้รับผลกระทบโดยเร็วที่สุด แพตช์รุ่นล่าสุดสามารถดาวน์โหลดได้ที่ mysonicwall.com” ตามประกาศที่อัปเดตของ SonicWall

    CVE-2024-40766 เป็นช่องโหว่ในการควบคุมการเข้าถึงที่มีความรุนแรงสูง (คะแนน CVSS v3: 9.3) ส่งผลกระทบต่ออุปกรณ์ SonicWall Firewall Gen 5 และ Gen 6 รวมถึงอุปกรณ์ Gen 7 ผู้จำหน่ายซอฟต์แวร์ไม่ได้เปิดเผยข้อมูลมากนักเกี่ยวกับช่องโหว่นี้ ยกเว้นศักยภาพในการเข้าถึงทรัพยากรโดยไม่ได้รับอนุญาตและความสามารถในการทำให้ไฟร์วอลล์หยุดทำงาน ทำให้การป้องกันเครือข่ายถูกยกเลิก

    เมื่อ SonicWall เปิดเผยช่องโหว่นี้ครั้งแรกเมื่อวันที่ 22 สิงหาคม 2024 ช่องโหว่นี้เชื่อว่าอยู่ในการเข้าถึงการจัดการของ SonicOS เท่านั้น แต่ด้วยการอัปเดตล่าสุด บริษัทเตือนว่าช่องโหว่ CVE-2024-40766 ยังส่งผลกระทบต่อฟีเจอร์ SSLVPN ของไฟร์วอลล์ด้วย

โปรดติดตั้งแพตช์โดยเร็วที่สุด รายการผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ รวมถึงเวอร์ชันที่แก้ไขช่องโหว่ CVE-2024-40766 มีดังนี้:

• SonicWall Gen 5 ที่รัน SonicOS เวอร์ชัน 5.9.2.14-12o และเก่ากว่า – ได้รับการแก้ไขใน SonicOS เวอร์ชัน 5.9.2.14-13o
• SonicWall Gen 6 ที่รัน SonicOS เวอร์ชัน 6.5.4.14-109n และเก่ากว่า – ได้รับการแก้ไขใน 6.5.2.8-2n (สำหรับ SM9800, NSsp 12400, NSsp 12800) และเวอร์ชัน 6.5.4.15-116n (สำหรับไฟร์วอลล์ Gen 6 อื่น ๆ)
• SonicWall Gen 7 ที่รัน SonicOS เวอร์ชัน 7.0.1-5035 และเก่ากว่า – ไม่สามารถทำซ้ำได้ในเวอร์ชัน 7.0.1-5035 และใหม่กว่า

คำแนะนำโดย SonicWall

• จำกัดการจัดการไฟร์วอลล์ให้เฉพาะแหล่งที่เชื่อถือได้ และปิดการเข้าถึงอินเทอร์เน็ตไปยังพอร์ทัลการจัดการ WAN หากเป็นไปได้
• จำกัดการเข้าถึง SSLVPN ให้เฉพาะแหล่งที่เชื่อถือได้เท่านั้น และปิดการใช้งานทั้งหมดหากไม่จำเป็น
• สำหรับอุปกรณ์ Gen 5 และ Gen 6 ผู้ใช้ SSLVPN ที่มีบัญชีท้องถิ่นควรอัปเดตรหัสผ่านของตนทันที และผู้ดูแลระบบควรเปิดใช้งานตัวเลือก "User must change password" สำหรับผู้ใช้ท้องถิ่น
• เปิดใช้งานการยืนยันตัวตนหลายปัจจัย (MFA) สำหรับผู้ใช้ SSLVPN ทั้งหมดโดยใช้รหัสผ่านแบบใช้ครั้งเดียว (OTP) ผ่าน TOTP หรืออีเมล สามารถดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีการกำหนดค่านี้ได้ที่2fa-for-ssl-vpn-with-totp

    แม้ว่า SonicWall จะยังไม่ได้แชร์ข้อมูลเกี่ยวกับวิธีที่ช่องโหว่นี้ถูกใช้โจมตีอย่างต่อเนื่อง แต่ช่องโหว่ที่คล้ายกันเคยถูกนำไปใช้ในอดีตเพื่อเข้าถึงเครือข่ายองค์กรในขั้นต้น

ผู้ประสงค์ร้ายมักมุ่งเป้าไปที่ SonicWall เนื่องจากมีการเปิดเผยสู่อินเทอร์เน็ตเพื่อให้บริการการเข้าถึง VPN จากระยะไกล

    ในเดือนมีนาคม 2023 แฮ็กเกอร์ชาวจีน (UNC4540) ที่คาดการณ์ได้โจมตีอุปกรณ์ SonicWall Secure Mobile Access (SMA) ที่ยังไม่ได้ติดตั้งแพตช์ โดยทำการติดตั้งมัลแวร์ที่ปรับแต่งเองซึ่งสามารถอยู่รอดได้แม้ในขณะที่อัปเกรดเฟิร์มแวร์

    BleepingComputer ได้ติดต่อ SonicWall เพื่อเรียนรู้เพิ่มเติมเกี่ยวกับวิธีที่ช่องโหว่นี้ถูกใช้ในการโจมตี แต่ยังไม่ได้รับคำตอบในทันที

วิธีทำ Multiple port SSL VPN บนอุปกรณ์ FortiGate

การ VPN แบบปกติ ทุก ๆ ท่าน น่าจะตั้งค่าใช้งานกันอยู่แล้ว ซึ่ง เป็น SSL VPN จาก Client เป็น Tunnel เข้ามาที่ ตัว FortiGate นั้นมีข้อดีคือ เสมือนว่า นำเครื่องที่ต่อ มาเสียบสายเหมือนว่าอยู่ในวงเดียวกันเลยทีเดียว

แต่ปัญหาหนึ่งอย่างคือ จำเป็นต้องใช้ Banwidth ที่สูงมากในการทำงาน (ผมตั้งค่าแบบไม่ Split Tunnel) ซึ่งกรณีที่มี Internet หลายเส้น เราอาจกระจายให้ VPN เข้ามาใด้จากหลาย Link โดยสามารถเข้าไปตั้งค่าเพิ่มเติมนิดหน่อย ครับ

หน้าการตั้งค่า ผ่าน GUI (ซึ่งผมลองตั้งค่าแล้วยังไม่สามารถให้ VPN มาที่ Port ที่ใช้ DynamicIP ได้)

จึงต้องมีการตั้งค่าผ่าน CLI เพิ่มเติม