Rilevato attacco brute force su larga scala che ha utilizzato 2,8 milioni di IP per colpire dispositivi VPN

I ricercatori di sicurezza di tutto il mondo lanciano l'allarme: è in corso un attacco brute force su larga scala, che utilizza circa 2,8 milioni di indirizzi IP per tentare di indovinare le credenziali di accesso di una serie di dispositivi di rete, tra cui quelli di Palo Alto Networks, Ivanti e SonicWall.

Un attacco brute force si verifica quando gli autori della minaccia tentano di accedere a un account o a un dispositivo più volte utilizzando più nomi utente e password finché non trovano la combinazione corretta. Una volta ottenute le credenziali corrette, potranno assumere il controllo del dispositivo o accedere alla rete.

Secondo un nuovo rapporto della piattaforma di monitoraggio delle minacce The Shadowserver Foundation, dal mese scorso è in corso un attacco brute force, che ha utilizzato circa 2,8 milioni di indirizzi IP sorgente al giorno per portare a termine gli attacchi.
La maggior parte di questi indirizzi IP (1,1 milioni) proveniva dal Brasile, seguito da Turchia, Russia, Argentina, Marocco e Messico. Ma in generale sono molti i Paesi coinvolti in questa attività.

Gli obiettivi principali sono i dispositivi di sicurezza edge quali firewall, VPN, gateway e altri componenti di sicurezza, che spesso sono connessi direttamente a Internet per supportare l'accesso remoto.

I dispositivi che eseguono questi attacchi sono principalmente router e dispositivi IoT di MikroTik, Huawei, Cisco, Boa e ZTE. Si tratta dei dispositivi che vengono spesso compromessi da botnet malware su larga scala. La Shadowserver Foundation ha confermato che questa attività è in corso da tempo, ma che di recente ha raggiunto una portata molto più ampia.

ShadowServer ha anche affermato che gli indirizzi IP dell'attacco erano distribuiti su più reti e Sistemi Autonomi (AS) e che probabilmente si trattava di una botnet o di un'operazione correlata alla rete proxy residenziale.

I proxy residenziali sono indirizzi IP assegnati ai singoli clienti dai provider di servizi Internet (ISP), il che li rende interessanti per i criminali informatici, la raccolta di dati, l'aggiramento delle restrizioni geografiche, la verifica della pubblicità, le transazioni online e altro ancora.

Questi proxy instradano il traffico Internet attraverso reti residenziali, facendo apparire gli utenti come normali membri della famiglia, anziché come bot, raccoglitori di dati o hacker.

Dispositivi gateway come quelli presi di mira in questa operazione possono essere utilizzati come nodi di uscita proxy in operazioni proxy residenziali, instradando il traffico dannoso attraverso la rete aziendale di un'organizzazione.

Misure per proteggere i dispositivi dagli attacchi brute force

Per proteggere i dispositivi edge dagli attacchi brute force, è necessario adottare le seguenti misure:

• Cambia la password di amministratore predefinita con una password complessa e univoca.
• Implementare l'autenticazione a più fattori (MFA).
• Utilizzare una whitelist di IP attendibili.
• Disattivare l'interfaccia di amministrazione web se non è necessaria.

Inoltre, è importante mantenere il dispositivo aggiornato con il firmware e le patch di sicurezza più recenti per eliminare le vulnerabilità di cui gli aggressori potrebbero approfittare per ottenere l'accesso iniziale.