Inc-Ransomware-Gruppe soll SonicWall-SMA-Zero-Days für Root-Zugriff verketten

Die Inc-Ransomware-Gruppe nutzt Berichten zufolge zwei bislang unbekannte Schwachstellen in SonicWall-Secure-Mobile-Access-(SMA)-Appliances aus. Gemeinsam können die Sicherheitslücken Angreifern die Kontrolle über betroffene Geräte mit Root-Rechten verschaffen und ihnen so möglicherweise einen mächtigen Ausgangspunkt in den anvisierten Umgebungen bieten.

SMA-Appliances dienen dazu, den Fernzugriff auf Unternehmensnetzwerke und -anwendungen bereitzustellen. Da sie an der Grenze zwischen dem Internet und internen Systemen stehen, kann eine Kompromittierung bereits ein erhebliches Risiko darstellen, bevor ein Angreifer überhaupt Ransomware einsetzt. Administrativer Zugriff kann es Bedrohungsakteuren ermöglichen, Konfigurationen zu ändern, auf sensible Informationen zuzugreifen, Persistenz einzurichten oder die Appliance als Ausgangspunkt für weitere Angriffe zu verwenden.

Warum die gemeldete Angriffskette relevant ist

Einzelne Schwachstellen in einem internetseitig erreichbaren Zugangsgateway können bereits schwerwiegend sein. Durch das Verketten zweier Sicherheitslücken kann ein Angreifer möglicherweise effektiver vorgehen, indem er sich von einem ersten Einstiegspunkt zu erweiterten Berechtigungen bewegt. In diesem Fall soll das Ergebnis die Möglichkeit sein, Root-Rechte auf SonicWalls Appliances für den mobilen Zugriff zu erlangen, wodurch der Angreifer umfassende Kontrolle über das Gerät erhält.

Der Bericht unterstreicht das anhaltende Risiko durch Edge-Infrastrukturen. Sicherheits-Appliances sind häufig direkt dem Internetverkehr ausgesetzt und werden bei routinemäßigen, auf Endgeräte fokussierten Sicherheitsprüfungen möglicherweise übersehen. Eine Kompromittierung kann zudem schwer zu erkennen sein, wenn bösartige Aktivitäten über eine vertrauenswürdige Infrastruktur für den Fernzugriff durchgeführt werden.

Empfohlene Schutzmaßnahmen

• Überwachen Sie die Sicherheitshinweise von SonicWall auf Patches, Workarounds und betroffene Produktversionen.
• Beschränken Sie Verwaltungsschnittstellen auf vertrauenswürdige Administrationsnetzwerke und reduzieren Sie unnötige Erreichbarkeit aus dem Internet.
• Prüfen Sie Appliance-Protokolle und Authentifizierungsaufzeichnungen auf ungewöhnliche Zugriffe, Konfigurationsänderungen oder unerwartete administrative Aktivitäten.
• Ändern Sie Zugangsdaten und untersuchen Sie verbundene Systeme, wenn eine Kompromittierung vermutet wird.
• Halten Sie Offline-Backups oder anderweitig geschützte Sicherungskopien vor und testen Sie Wiederherstellungsverfahren anhand eines Ransomware-Szenarios.

Organisationen, die SonicWall-SMA-Produkte einsetzen, sollten die gemeldeten Schwachstellen als Risiko mit hoher Priorität behandeln und die Überprüfung der Appliances mit einer umfassenderen Überwachung im Rahmen der Incident Response koordinieren. Bis bestätigte Fehlerbehebungen oder Hinweise zur Risikominderung verfügbar sind, können eine Verringerung der Angriffsfläche und die Überwachung auf verdächtige Aktivitäten dazu beitragen, die möglichen Auswirkungen zu begrenzen.