Criminelen verspreiden ransomware via lek in Pulse Secure vpn-software
Criminelen maken gebruik van een bekend beveiligingslek in de Pulse Secure vpn-software om bedrijven en organisaties met ransomware te infecteren, zo heeft Pulse Secure zelf bekendgemaakt. Geldwisselaar Travelex, die onlangs door ransomware werd getroffen, had verschillende Pulse Secure-servers niet gepatcht, aldus beveiligingsonderzoeker Kevin Beaumont.
De kwetsbaarheid in Pulse Secure werd vorig jaar april gepatcht. Het beveiligingslek is op een schaal van 1 tot en met 10 wat betreft de ernst met een 10 beoordeeld. Ook werd het lek tijdens de afgelopen Black Hat-conferentie uitgeroepen tot het "beste server-side beveiligingslek" van het afgelopen jaar. De Pulse Secure vpn-oplossing laat werknemers op afstand verbinding met een bedrijfsnetwerk maken. Via de kwetsbaarheid in de software kan een aanvaller zonder inloggegevens de vpn-server van organisaties overnemen, alsmede alle vpn-clients.
Alleen toegang via https en het versturen van een speciaal geprepareerde uri is voldoende om de kwetsbaarheid uit te buiten. Pulse Secure patchte het lek op 24 april. Op 20 augustus verscheen er een exploit online die misbruik van de kwetsbaarheid maakt en sinds 22 augustus vinden ook daadwerkelijk aanvallen plaats, aldus Beaumont. Sinds 22 augustus wordt er ook op grote schaal naar kwetsbare endpoints gezocht, zo liet onderzoeker Troy Mursch vorig jaar weten. De onderzoeker vond ruim 14.000 kwetsbare vpn-servers, waaronder 420 in Nederland.
"Het beveiligingslek is echt zeer ernstig. Het laat mensen zonder geldige gebruikersnaam en wachtwoord op afstand verbinding met het bedrijfsnetwerk maken, wat het apparaat juist zou moeten voorkomen, multifactorauthenticatie uitschakelen, op afstand logs en gecachte wachtwoorden in plain text bekijken, waaronder Active Directory-wachtwoorden", merkt Beaumont op.
De onderzoeker ontdekte vorige week twee incidenten waarbij criminelen het lek in Pulse Secure hadden gebruikt om organisaties met ransomware te infecteren. Beide organisaties hadden ongepatchte vpn-servers. De kwetsbaarheid gaf de aanvallers toegang tot het bedrijfsnetwerk. Vervolgens wisten die domeinbeheerderrechten te verkrijgen en schakelden aanwezige beveiligingssoftware uit. Hierna werd de Sodinokibi-ransomware op alle systemen geïnstalleerd.
Geldwisselaar Travelex, die op 31 december door dezelfde ransomware werd geïnfecteerd, had zeven ongepatchte Pulse Secure vpn-servers, claimt Beaumont. Organisaties die de update nog niet hebben geïnstalleerd krijgen het advies om dit alsnog te doen. Naar aanleiding van het lek liet minister Grapperhaus van Justitie en Veiligheid nog weten dat organisaties die het installeren van beveiligingsupdates uitstellen ongelofelijke oliebollen zijn.
dat de gebruikers een paar minuten niet konden werken en omdat ze die eerst zelf wilden testen voor ze die gingen
installeren maar daar hadden ze geen tijd voor of geen testomgeving. Dat lek.
Zo zie je maar weer: dergelijke "best practices" die op zich heel verdedigbaar lijken de zijn die zijn een groot gevaar
voor je bedrijf, zeker als ze hard zijn vastgelegd en niet van geval tot geval bekeken worden.
dat de gebruikers een paar minuten niet konden werken en omdat ze die eerst zelf wilden testen voor ze die gingen
installeren maar daar hadden ze geen tijd voor of geen testomgeving. Dat lek.
Zo zie je maar weer: dergelijke "best practices" die op zich heel verdedigbaar lijken de zijn die zijn een groot gevaar
voor je bedrijf, zeker als ze hard zijn vastgelegd en niet van geval tot geval bekeken worden.
dat de gebruikers een paar minuten niet konden werken en omdat ze die eerst zelf wilden testen voor ze die gingen
installeren maar daar hadden ze geen tijd voor of geen testomgeving. Dat lek.
Zo zie je maar weer: dergelijke "best practices" die op zich heel verdedigbaar lijken de zijn die zijn een groot gevaar
voor je bedrijf, zeker als ze hard zijn vastgelegd en niet van geval tot geval bekeken worden.
Ja voor het geval je daar niet bij was, daar is hier uitgebreid over gediscussieerd een maandje geleden ofzo.
De "beheerders" die het heel verklaarbaar vonden dat een dergelijke critical patch niet geinstalleerd werd die vielen
over elkaar heen met deze "goede redenen".
NCSC: veel Nederlandse organisaties met kwetsbare vpn-software
zaterdag 19 oktober 2019 door Redactie
https://www.security.nl/posting/628254/NCSC%3A+veel+Nederlandse+organisaties+met+kwetsbare+vpn-software
Is dat niet bij uitstek de taak van die -duurdere- "C-level" (of hoe ze ook mogen heten) blabla baasjes? Waarom worden meestal ICT-ers erop aangekeken na beveiligingsincidenten, ook als zij vaak genoeg signalen hebben afgegeven over mogelijke risico's - en hen in antwoord daarop meestal verteld wordt dat ze nu al te lang doen over hun lopende taken? Vind je het gek dat deze mensen dan steeds vaker hun schouders ophalen, alleen al om een burnout te voorkomen?
Security is primair een managementtaak, maar de meeste leidinggevenden die ik heb meegemaakt vinden security maar ingewikkeld, vervelend en/of tijdverspilling en vooral iets dat een ander maar moet oplossen (zorg maar dat het "veilig is"). Ik ben niet verbaasd over het grote aantal beveiligingsincidenten waarvan o.a. deze site dagelijks melding maakt. Aantallen die vermoedelijk veel groter zijn doordat slechts een klein deel de pers haalt.
Omdraaien? Doe maar 360 graden dan.
Security is primair een managementtaak, maar de meeste leidinggevenden die ik heb meegemaakt vinden security maar ingewikkeld, vervelend en/of tijdverspilling en vooral iets dat een ander maar moet oplossen (zorg maar dat het "veilig is"). Ik ben niet verbaasd over het grote aantal beveiligingsincidenten waarvan o.a. deze site dagelijks melding maakt. Aantallen die vermoedelijk veel groter zijn doordat slechts een klein deel de pers haalt.
Omdraaien? Doe maar 360 graden dan.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
