حذرت شركة Check Point في استشارة صدرت يوم الاثنين من حملة مستمرة تستهدف أجهزة Check Point Remote Access VPN بهدف اختراق شبكات المؤسسات.
تكامل الخدمة ونقاط الضعف
تُدمج خدمة الوصول عن بُعد في جميع جدران الحماية الشبكية من Check Point. فيما يمكن إعداد هذه الخدمة كشبكة VPN من العميل إلى الموقع للوصول إلى الشبكات المؤسسية. وذلك عبر عملاء VPN أو كمنفذ SSL VPN للوصول عبر الويب.
وفقًا لشركة Check Point، يستهدف المهاجمون بوابات الأمان باستخدام حسابات محلية قديمة. بينما تعتمد على مصادقة كلمة المرور فقط، وهي طريقة غير آمنة ويجب استخدامها مع مصادقة الشهادات لمنع الاختراقات.
الحوادث الأمنية الأخيرة
قالت الشركة أيضًا : “لقد شهدنا مؤخرًا حلول VPN مخترقة من قبل عدة شركات أمن سيبراني. في ضوء هذه الأحداث، كنا نراقب محاولات الوصول غير المصرح بها إلى شبكات VPN لعملاء Check Point. بحلول 24 مايو 2024، حددنا عددًا قليلاً من محاولات تسجيل الدخول. باستخدام حسابات VPN محلية قديمة تعتمد على طريقة مصادقة بكلمة مرور غير موصى بها”.
من جانبه، أضاف متحدث باسم Check Point لموقع BleepingComputer: “لقد رأينا ثلاث محاولات من هذا النوع، وعند تحليلها مع الفرق الخاصة التي شكلناها، رأينا ما نعتقد أنه نفس النمط تقريبًا. لذا، كانت هناك محاولات قليلة على مستوى العالم. ولكنها كافية لفهم اتجاه معين وضمان عدم نجاحها.”
إجراءات الدفاع
للدفاع ضد هذه الهجمات المستمرة، حذرت Check Point عملاءها من التحقق من الحسابات الضعيفة على منتجات Quantum Security Gateway وCloudGuard Network Security. وعلى برمجيات Mobile Access وRemote Access VPN.
نصحت الشركة العملاء بتغيير طريقة مصادقة المستخدم إلى خيارات أكثر أمانًا. (باستخدام التعليمات في هذا المستند الدعم) أو حذف الحسابات المحلية الضعيفة من قاعدة بيانات خادم إدارة الأمان.
كما أصدرت الشركة تحديثًا أمنياً لبوابة الأمان سيقوم بمنع جميع الحسابات المحلية من المصادقة. باستخدام كلمة مرور. بعد التثبيت، سيتم منع الحسابات المحلية ذات مصادقة كلمة المرور الضعيفة من تسجيل الدخول إلى Remote Access VPN.
يمكن للعملاء العثور على مزيد من المعلومات حول تحسين أمان شبكات VPN الخاصة بهم في هذا المقال الدعم، والذي يشارك أيضًا إرشادات حول الرد على محاولات الوصول غير المصرح بها.
استهداف أجهزة Cisco VPN أيضًا
تعد Check Point الشركة الثانية التي تحذر من استهداف أجهزة VPN في هجمات مستمرة في الأشهر الأخيرة. في أبريل، حذرت شركة Cisco من هجمات القوة الغاشمة. التي تستهدف خدمات VPN وSSH على أجهزة Cisco وCheck Point وSonicWall وFortinet وUbiquiti.
بدأت هذه الحملة حوالي 18 مارس 2024، مع الهجمات التي تأتي من عقد خروج TOR واستخدام أدوات إخفاء الهوية الأخرى والوكلاء لتجنب الحظر.
من جهة أخرى، وقبل شهر واحد، حذرت Cisco من موجة من هجمات رش كلمة المرور التي تستهدف أجهزة Cisco Secure Firewall التي تشغل خدمات VPN للوصول عن بُعد (RAVPN)، والتي من المحتمل أن تكون جزءًا من نشاط استقصائي في المرحلة الأولى.
في نفس السياق، ربط الباحث الأمني آرون مارتن هذا النشاط بشبكة بوتنت من البرمجيات الخبيثة غير الموثقة. التي أطلق عليها اسم “Brutus”، والتي تسيطر على ما لا يقل عن 20,000 عنوان IP عبر خدمات السحابة والشبكات السكنية.
في الشهر الماضي، كشفت الشركة أن مجموعة القرصنة المدعومة من الدولة UAT4356 (المعروفة أيضًا باسم STORM-1849) كانت تستخدم ثغرات يوم الصفر في أجهزة Cisco Adaptive Security Appliance (ASA) . وFirepower Threat Defense (FTD) لاختراق شبكات حكومية حول العالم منذ نوفمبر 2023 على الأقل في حملة تجسس إلكتروني تتبع باسم ArcaneDoor.
