Nuova ondata di tentativi di accesso VPN mirati ai portali Palo Alto GlobalProtect

È stata osservata una campagna di attacchi che ha preso di mira i portali GlobalProtect di Palo Alto con tentativi di accesso e attività di scansione contro gli endpoint API di SonicWall SonicOS. L’attività è iniziata il 2 dicembre e ha origine da oltre 7.000 indirizzi IP di infrastrutture gestite dalla società tedesca di IT 3xK GmbH, che gestisce la propria rete BGP (AS200373) e opera come provider di hosting.

Inizialmente, l’attore ha preso di mira i portali GlobalProtect con tentativi di accesso forzato e login, per poi passare a scansionare gli endpoint API di SonicWall, secondo quanto riportato dalla società di intelligence sulle minacce GreyNoise. GlobalProtect è il componente VPN e di accesso remoto della piattaforma di firewall di Palo Alto Networks, utilizzato da grandi aziende, agenzie governative e provider di servizi.

Secondo GreyNoise, i tentativi di accesso a GlobalProtect hanno preso di mira due profili nella rete di sensori della società per la cattura passiva di attività di scansione e sfruttamento. I ricercatori affermano che il aumento dell’attività ha utilizzato tre impronte digitali del client precedentemente osservate in tentativi di scansione registrati tra la fine di settembre e metà ottobre. La società consiglia ai difensori di monitorare gli IP associati a questo tipo di attività e di bloccarli, nonché di monitorare le superfici di autenticazione per velocità anomale/ripetute e di utilizzare blocchi dinamici e consapevoli del contesto invece di elenchi di reputazione statici.

Palo Alto Networks ha affermato di aver rilevato un aumento della scansione mirata alle interfacce GlobalProtect e ha confermato che si tratta di attacchi basati su credenziali, non di sfruttamento di una vulnerabilità del software. La società consiglia ai clienti di applicare l’autenticazione a più fattori (MFA) per proteggersi contro l’abuso delle credenziali. Inoltre, la società raccomanda di monitorare le superfici di autenticazione per velocità anomale e di utilizzare blocchi dinamici e consapevoli del contesto.