Cisco warnt: Hacker attackieren massenhaft VPN-Dienste und mehr
Sicherheitsforscher von Cisco Talos warnen vor einem weltweiten Anstieg von Brute-Force-Angriffen auf verschiedene Onlinedienste. Wie das zum Netzwerkausrüster Cisco gehörende Cybersicherheitsunternehmen in einem am Dienstag veröffentlichten Blogbeitrag(öffnet im neuen Fenster) erklärt, häufen sich derartige Attacken etwa seit dem 18. März. Die Angreifer zielen demnach unter anderem auf VPN- und SSH-Dienste sowie auf Authentifizierungsschnittstellen für Webanwendungen ab.
Als bekanntermaßen betroffene Dienste und Anbieter benennen die Forscher Cisco Secure Firewall VPN, Checkpoint VPN, Fortinet VPN, Sonicwall VPN, RD Web Services, Miktrotik, Draytek und Ubiquiti. Möglicherweise sollen jedoch noch weitere betroffen sein.
"Der mit diesen Angriffen verbundene Datenverkehr hat im Laufe der Zeit zugenommen und wird wahrscheinlich auch weiterhin zunehmen" , warnt Cisco Talos. Die Angriffsziele seien nicht auf eine bestimmte Region oder Branche beschränkt. Erfolgreiche Brute-Force-Attacken auf betroffene Dienste können etwa Systemausfälle, Kontosperrungen oder unbefugte Netzwerkzugriffe zur Folge haben.
Angriffe erfolgen über Proxy-Dienste und Tor
Bei Brute-Force-Attacken versuchen sich die Angreifer in der Regel mit zufällig gewählten Anmeldeinformationen durch reines Ausprobieren bei einem Dienst einzuloggen. In den von Cisco Talos untersuchten Fällen kommen dafür bekannte oder häufig verwendete Benutzernamen zum Einsatz. Diese werden im Rahmen zahlreicher Anmeldeversuche mit verschiedenen Passwörtern kombiniert.
Quelle der Angriffe sind nach Angaben der Forscher vor allem Tor-Exit-Nodes, VPN Gate und Proxy-Dienste wie Ipidea Proxy, Bigmama Proxy, Space Proxies, Nexus Proxy und Proxy Rack. Die Angreifer verschleiern damit ihren Datenverkehr, so dass sich dieser nicht zur tatsächlichen Quelle zurückverfolgen lässt. In dem Bericht wird davor gewarnt, dass die böswilligen Akteure dafür auch noch auf andere als die genannten Dienste zurückgreifen könnten.
Über ein Github-Repository(öffnet im neuen Fenster) hat Cisco Talos IOCs (Indicator of compromise) bereitgestellt, darunter die IP-Adressen und Nutzernamen, die die Angreifer nach aktuellem Kenntnisstand für ihre Brute-Force-Attacken verwenden. Administratoren wird empfohlen, diese zu etwaigen Blocklisten hinzuzufügen, um ihre Systeme vor unbefugten Zugriffen zu schützen. Die Forscher warnen jedoch, dass sich die Quell-IP-Adressen der Angriffe wahrscheinlich im Laufe der Zeit änderten.