Attacke auf SonicWall

SonicWall hat erklärt, dass hochentwickelte Bedrohungsakteure auf die internen Systeme des Unternehmens abzielten, indem sie wahrscheinliche Zero-Day-Schwachstellen in bestimmten SonicWall-Produkten für sicheren Fernzugriff ausnutzten.

Das Unternehmen führte NetExtender VPN-Clients und die Secure Mobile Access (SMA)-Gateways als betroffen auf:

NetExtender VPN-Client Version 10.x (veröffentlicht 2020), der für die Verbindung mit Appliances der SMA 100-Serie und SonicWall-Firewalls verwendet wird.

Secure Mobile Access (SMA) Version 10.x, die auf den physischen Appliances SMA 200, SMA 210, SMA 400 und SMA 410 sowie der virtuellen Appliance SMA 500v läuft.

Laut SonicWall ist die neuere SMA 1000-Serie nicht betroffen, da diese Produktreihe einen anderen VPN-Client als NetExtender verwendet.

In einem Update am 24. Januar hieß es zur SMA 100 Serie: „Dieses Produkt wird weiterhin auf eine Schwachstelle hin untersucht, wir können jedoch die folgende Anleitung zu Einsatzfällen herausgeben:  Aktuelle Kunden der SMA 100 Serie können NetExtender weiterhin für den Fernzugriff mit der SMA 100 Serie verwenden. Wir haben festgestellt, dass dieser Anwendungsfall nicht für eine Ausnutzung anfällig ist.

Wir raten den Administratoren der SMA 100 Serie, spezielle Zugriffsregeln zu erstellen oder den administrativen Zugriff über Virtual Office und HTTPS aus dem Internet zu deaktivieren, während wir die Schwachstelle weiter untersuchen.“

Um die Netzwerke der eigenen Kunden zu schützen, hat der Hersteller in seinem Knowledgebase-Artikel eine Reihe von Abhilfemaßnahmen aufgeführt, wie z. B. den Einsatz einer Firewall, um einzuschränken, wer mit den SMA-Geräten interagieren kann, oder die Deaktivierung des Zugriffs über den NetExtender VPN-Client auf seine Firewalls.

SonicWall fordert Unternehmen außerdem dazu auf, in ihren Produkten Optionen zur Zwei-Faktor-Authentifizierung für Admin-Konten zu aktivieren.

Der Hersteller von Netzwerkgeräten, dessen Produkte häufig zur Absicherung des Zugangs zu Unternehmensnetzwerken eingesetzt werden, ist nach FireEye, Microsoft und Malwarebytes bereits der vierte Sicherheitsanbieter, der in den letzten zwei Monaten eine Sicherheitsverletzung bekannt gegeben hat.

Alle drei Unternehmen wurden während des Angriffs auf die Lieferkette von SolarWinds angegriffen. CrowdStrike gab an, dass es ebenfalls Ziel des SolarWinds-Hacks war, der Angriff jedoch nicht erfolgreich war.