Controlli di accesso deboli e servizi remoti esposti favoriscono i cyberattacchi

Laila Mubashar, Senior Cybersecurity Analyst di Barracuda Networks, ci spiega come controlli di accesso deboli e servizi remoti esposti favoriscano i cyberattacchi.

I cybercriminali continuano a puntare su tecniche semplici ma estremamente efficaci per compromettere le infrastrutture aziendali. I più recenti incidenti gestiti da Barracuda Managed XDR confermano che controlli di accesso inadeguati, servizi di accesso remoto esposti e una gestione poco rigorosa delle credenziali restano tra le principali cause delle compromissioni iniziali.

Più che ricorrere ad attacchi sofisticati, molti gruppi criminali fanno leva su campagne automatizzate che prendono di mira sistemi esposti su Internet, come i servizi RDP e le infrastrutture VPN.

Una volta ottenuto l’accesso, gli attaccanti possono muoversi in modi diversi a seconda dell’obiettivo: installare malware, mantenere una presenza persistente all’interno della rete o preparare il terreno per attacchi di maggiore impatto. I recenti casi che hanno coinvolto il malware LemonDuck, la botnet GoldBrute e le campagne di password spraying contro le VPN dimostrano come una violazione iniziale possa rapidamente trasformarsi in un incidente di sicurezza ben più grave se le difese preventive non sono adeguate.

LemonDuck: la persistenza come chiave dei cyberattacchi

Di recente LemonDuck è stato individuato su diversi endpoint mentre comunicava con numerosi domini malevoli. Si tratta di un malware capace di propagarsi all’interno della rete, sfruttare le risorse dei sistemi compromessi per il mining illecito di criptovalute e, allo stesso tempo, creare le condizioni per ulteriori attività dannose.

Le analisi hanno rilevato l’esecuzione di script PowerShell nascosti per scaricare payload aggiuntivi, comunicazioni con server di comando e controllo (C2) già noti e la creazione di attività pianificate o eventi Windows Management Instrumentation (WMI), utilizzati per garantire la persistenza del malware nel tempo.

Il rischio aumenta nelle organizzazioni che utilizzano sistemi non aggiornati, espongono servizi di accesso remoto come RDP, adottano credenziali deboli o riutilizzate, dispongono di una visibilità limitata sugli endpoint oppure non sono in grado di rilevare tempestivamente la disattivazione o l’elusione dei controlli di sicurezza.

GoldBrute: i servizi RDP continuano a essere nel mirino

Un’attività proattiva di threat hunting condotta dal Security Operations Center (SOC) ha inoltre portato all’individuazione di un’infezione attiva della botnet GoldBrute nell’ambiente di un cliente. GoldBrute è una famiglia di malware sviluppata in Java che prende di mira i servizi RDP esposti attraverso attacchi di forza bruta sulle credenziali.

Quando l’attacco ha successo, il malware viene installato sui sistemi compromessi e li integra nella botnet, che a sua volta avvia la scansione di nuovi obiettivi e tenta ulteriori attacchi alle credenziali. Nel caso analizzato, il malware è stato eseguito tramite un’installazione Java integrata, mantenendo al contempo il collegamento con l’infrastruttura di comando della botnet.

Le più recenti attività di threat intelligence hanno inoltre associato gli operatori di GoldBrute a campagne ransomware, confermando come una compromissione iniziale possa rappresentare il punto di partenza per attacchi molto più distruttivi.

Esporre direttamente i servizi RDP a Internet, utilizzare password poco robuste, non adottare l’autenticazione multifattore (MFA), trascurare il monitoraggio dei tentativi di accesso e del traffico in uscita o continuare a utilizzare sistemi legacy privi degli aggiornamenti di sicurezza espone le organizzazioni a un rischio significativamente maggiore.

Password spraying: le VPN restano un obiettivo privilegiato

Nel mese di maggio è stato registrato un aumento del 55% delle attività di password spraying provenienti dall’Iran e dirette contro le VPN Fortigate rispetto al mese precedente.

La campagna consisteva in ripetuti tentativi di autenticazione su numerosi account utente, con l’obiettivo di individuare credenziali valide e ottenere un accesso non autorizzato all’infrastruttura VPN. Sebbene in questo caso gli attacchi non abbiano avuto esito positivo, l’episodio conferma che i servizi di accesso remoto continuano a essere uno dei bersagli preferiti nelle campagne di attacco basate sul furto di credenziali.

Sono particolarmente esposte le organizzazioni che proteggono l’accesso alle VPN esclusivamente tramite password, consentono l’utilizzo di credenziali deboli o riutilizzate, espongono i portali VPN direttamente su Internet senza ulteriori livelli di protezione oppure non dispongono di sistemi di monitoraggio in grado di individuare anomalie e ripetuti tentativi di autenticazione falliti.

Cyberattacchi: Rafforzare la prima linea di difesa

Pur facendo leva su malware e tecniche di attacco differenti, tutti questi episodi trasmettono lo stesso messaggio: controlli di accesso deboli e servizi remoti esposti continuano a offrire agli attaccanti un’opportunità concreta per ottenere un punto d’ingresso nelle reti aziendali.

Ridurre il rischio significa partire dalle basi della cybersecurity: mantenere aggiornati i sistemi esposti a Internet, adottare password robuste e autenticazione multifattore, limitare l’esposizione dei servizi di accesso remoto allo stretto necessario, monitorare costantemente attività di autenticazione sospette e connessioni in uscita e garantire una visibilità completa sugli endpoint.

I casi analizzati dimostrano ancora una volta che impedire la compromissione iniziale rimane una delle strategie più efficaci per bloccare i cyberattacchi prima che si trasformino in incidenti di sicurezza di ampia portata.