Grootschalige brute force-aanval met 2,8 miljoen IPs gericht op VPN-apparaten gedetecteerd

Beveiligingsonderzoekers over de hele wereld waarschuwen voor een grootschalige brute-force-aanval, waarbij bijna 2,8 miljoen IP-adressen worden gebruikt om inloggegevens te raden voor verschillende netwerkapparaten, waaronder die van Palo Alto Networks, Ivanti en SonicWall.

Een brute-force-aanval vindt plaats wanneer kwaadwillenden proberen om meerdere keren in te loggen op een account of apparaat met behulp van verschillende gebruikersnamen en wachtwoorden, totdat ze de juiste combinatie hebben gevonden. Zodra ze over de juiste inloggegevens beschikken, kunnen ze de controle over het apparaat overnemen of toegang krijgen tot het netwerk.

Volgens een nieuw rapport van The Shadowserver Foundation, een platform voor bedreigingsmonitoring, vindt er sinds vorige maand een brute force-aanval plaats, waarbij bijna 2,8 miljoen bron-IP-adressen per dag worden gebruikt om de aanvallen uit te voeren.
Het merendeel van deze IP-adressen (1,1 miljoen) kwam uit Brazilië, gevolgd door Turkije, Rusland, Argentinië, Marokko en Mexico. Maar over het algemeen zijn er veel landen bij deze activiteit betrokken.

De primaire doelen zijn edge-beveiligingsapparaten zoals firewalls, VPN's, gateways en andere beveiligingscomponenten, die vaak rechtstreeks met internet zijn verbonden om externe toegang te ondersteunen.

De apparaten die deze aanvallen uitvoeren, zijn voornamelijk routers en IoT-apparaten van MikroTik, Huawei, Cisco, Boa en ZTE. Dit zijn de apparaten die vaak het slachtoffer worden van grootschalige malware-botnets. De Shadowserver Foundation bevestigde dat deze activiteit al een tijdje gaande is, maar dat deze onlangs plotseling veel groter is geworden.

ShadowServer meldde ook dat de aangevallen IP-adressen verspreid waren over meerdere netwerken en autonome systemen (AS), en waarschijnlijk een botnet of een residentiële proxy-netwerkgerelateerde operatie waren.

Residentiële proxyservers zijn IP-adressen die door internetproviders (ISP's) aan individuele klanten worden toegewezen. Hierdoor zijn ze aantrekkelijk voor cybercriminelen, gegevensverzameling, het omzeilen van geografische beperkingen, het verifiëren van advertenties, online transacties en nog veel meer.

Deze proxyservers leiden internetverkeer via thuisnetwerken, waardoor gebruikers lijken op gewone familieleden in plaats van bots, gegevensverzamelaars of hackers.

Gateway-apparaten zoals die waarop deze operatie is gericht, kunnen worden gebruikt als proxy-exitknooppunten bij residentiële proxybewerkingen, waarbij schadelijk verkeer via het bedrijfsnetwerk van een organisatie wordt gerouteerd.

Maatregelen om apparaten te beschermen tegen brute-force-aanvallen

Om edge-apparaten te beschermen tegen brute-force-aanvallen, moeten de volgende stappen worden genomen:

• Wijzig het standaard beheerderswachtwoord naar een sterk en uniek wachtwoord.
• Implementeer multi-factor-authenticatie (MFA).
• Gebruik een witte lijst met vertrouwde IP-adressen.
• Schakel de webbeheerinterface uit als u deze niet nodig hebt.

Daarnaast is het belangrijk om uw apparaat altijd te voorzien van de nieuwste firmware en beveiligingspatches. Zo voorkomt u kwetsbaarheden die aanvallers kunnen misbruiken om toegang te krijgen.