Įsilaužėliai perėmė 25 ugniasienių serverių kontrolę: tarp taikinių – su JAV valdžia susijusi sistema

Sekite TechNaujienos Google

Net profesionali tinklo saugumo įranga gali tapti silpnąja organizacijos vieta. Kibernetinio saugumo tyrėjai paskelbė atkūrę atakų grandinę, kuri leido įsilaužėliams perimti 25 „Palo Alto Networks“ PAN-OS ugniasienių ir jų valdymo serverių kontrolę. Tarp taikinių buvo ir sistema, kuri, tyrėjų vertinimu, susijusi su JAV valstybine organizacija. Tai parodo, kaip viešai prieinama administravimo sąsaja gali atverti kelią į vidinį tinklą.

Spalio 26 d. paskelbtoje ir spalio 29 d. atnaujintoje „Dream Research“ analizėje aprašomas būdas, kai išnaudojami du kritiniai PHP saugumo pažeidžiamumai, o vėliau ir privilegijų didinimo spraga. Tyrėjai teigia radę pačių užpuolikų įrankių ir veiklos įrašų, o ne vien teoriškai veikiančią atakos demonstraciją.

Nepriklausomą patvirtinimą pateikė ir pats įrangos gamintojas. „Palo Alto Networks“ tyrimų padalinys „Unit 42“ nurodė patikrinęs atakos įrankius ir pagrindinius rezultatus. Gamintojas patvirtino, kad pažeidžiamumai aktyviai išnaudojami prieš viešai prieinamas PAN-OS administravimo sąsajas, ir ragino klientus pašalinti tokią prieigą iš atviro interneto bei įdiegti pataisas.

Tyrimas susijęs su saugumo spragomis CVE-2026-109618 ir CVE-2026-109619, kartu vadinamomis PHP2Shell, ir atskiru privilegijų didinimo mechanizmu. Specialistams aktualūs konkretūs programinės įrangos versijų apribojimai ir gamintojo pateiktos pataisos. Tačiau plačiajai auditorijai svarbiausia suprasti principą: užpuolikas gali pradėti nuo prieigos prie valdymo puslapio, o galiausiai pasiekti sistemas, kuriomis darbuotojai prisijungia prie viso organizacijos tinklo.

Naujausi straipsniai

5 min. skaitymo • prieš 23 minutės

JAV valdžia domisi 12,9 mlrd. dolerių „Nvidia“ sandoriu: kodėl „Hugging Face“ kelia konkurencijos klausimų?

4 min. skaitymo • prieš 2 val

„Google“ pristatė naują DI modelį programų spragoms aptikti: teste pasiekė 88,2 proc. rezultatą

4 min. skaitymo • prieš 3 val

NATO Latvijoje išbandė dronų aptikimą 5G tinklais: demonstracijoje – beveik 400 bepiločių orlaivių

Visi naujausi straipsniai →

Kaip ataka iš išorinio įrenginio pasiekė vidinį tinklą

„Dream Research“ duomenimis, atakuotojai pirmiausia aptiko apie 19 tūkst. internetu pasiekiamų įrenginių. Po versijų tikrinimo ir atrankos potencialių taikinių liko apie 240, iš kurių daugelį buvo bandoma kompromituoti automatizuotai. Patvirtintame tyrėjų rekonstruotame veiklos etape perimtos 24 išorinės ugniasienės, o vėliau dar vienas vidinis valdymo serveris.

Ypač svarbus momentas susijęs su teisėmis. Vien prisijungti prie riboto vartotojo paskyros dažnai nepakanka, kad įsilaužėlis valdytų visą sistemą. Tačiau šiuo atveju pažeidžiamumų grandinė suteikė aukščiausio lygio administravimo teises. Tai leidžia pakeisti sistemines nuostatas, skaityti konfigūraciją ir ieškoti tolesnių kelių į tinklą.

Rekonstruotuose įrašuose tyrėjai aptiko bandymus pasiekti centralizuotą katalogų infrastruktūrą „Active Directory“. Jei prie jos gaunama papildoma prieiga, kyla grėsmė vartotojų paskyroms, prisijungimų valdymui ir kitoms su organizacijos tapatybe susijusioms paslaugoms. Tačiau tyrėjai aiškiai pažymi negalėję patvirtinti visų vėlesnių užpuolikų veiksmų sėkmės.

Pranešime aptikta požymių, siejančių atakos infrastruktūrą su kiniškai kalbančiais veikėjais ir Kinijoje naudojamais įrankiais, tačiau tyrėjai neįvardija patvirtintos konkrečios valstybės ar grupuotės atsakomybės. Vien programų kalba, laiko juosta ar pasirinktų taikinių geografija nėra pakankamas pagrindas kategoriškai nurodyti vykdytoją.

Ką dabar turėtų patikrinti organizacijos?

Praktinė pamoka verslui – nepalikti administravimo sąsajų atviroje interneto erdvėje, net jeigu pati įranga skirta saugumui. Nuotolinį valdymą reikėtų riboti patikimais tinklais, naudoti atskiras administratoriaus paskyras, atnaujinti programinę įrangą ir stebėti neįprastus prisijungimus. Patikimiausios rekomendacijos yra naujausiuose gamintojo saugumo pranešimuose.

„Palo Alto Networks“ skelbia, kad pataisas įdiegę klientai nuo šios konkrečios atakos grandinės apsaugoti. Tačiau pakeitimai turi būti atlikti tinkamuose įrangos modeliuose ir programų versijose. Įspūdinga technologija negali atstoti paprastos saugumo disciplinos, jei administratorius palieka valdymo sąsają prieinamą visam internetui.

Lietuvos organizacijoms ši istorija svarbi todėl, kad analogiškos užsienio ugniasienės naudojamos ir Europos infrastruktūroje. Neskelbiama, kad konkrečiai Lietuvos institucijos būtinai buvo tarp šių 25 atvejų, tačiau pati grėsmės architektūra nepriklauso nuo šalies. Anksčiau aptarėme paskyrų saugumo veiksmus po duomenų nutekėjimo; čia matome dar ankstesnę apsaugos grandį.

Pažeidžiamumų valdymo procesas turi apimti ne tik programų atnaujinimą, bet ir tinklo segmentavimą. Jei perimta viena ugniasienė gali pasiekti visas vidines paskyras ir valdymo sistemas, vienas incidentas tampa daug platesne krize. Suteikiant tinklo įrangai tik tas teises, kurių reikia jos funkcijoms, galima sumažinti galimą žalą net tuomet, kai atsiranda nežinoma spraga.

Organizacijoms naudinga ir iš anksto sutarti, kas priima sprendimą laikinai atjungti nesaugią valdymo sąsają, kaip tikrinami žurnalai bei kaip atkuriama patikima konfigūracija. Kritinėse sistemose tokie veiksmai turi būti išbandomi per pratybas, nes tikro incidento metu ilgai trunkantis sprendimų derinimas gali suteikti daugiau laiko užpuolikams. Gamintojo rekomendacijos šioje vietoje yra svarbesnės už nepatikrintus interneto patarimus.

Kol kas skaičius 25 nusako tyrėjų rekonstruotos kampanijos kompromituotus serverius, o ne visas galimas pasaulines atakas per PHP2Shell. Visą mastą nustatyti sudėtinga. Aišku tik tai, kad nauji pažeidžiamumai reikalauja skubios reakcijos, ypač jei pažeistos sistemos turi plačias teises vidiniame tinkle.