Se ha detectado un incremento global en ataques de fuerza bruta dirigidos a una variedad de objetivos, incluyendo servicios de red privada virtual (VPN), interfaces de autenticación de aplicaciones web y servicios SSH. Este tipo de actividad se ha observado desde al menos el 18 de marzo de 2024.
Origen de los ataques
Todos estos ataques parecen originarse en nodos de salida de TOR y una variedad de otros túneles y servidores proxy anónimos. Dependiendo del entorno de destino, los ataques exitosos pueden provocar acceso no autorizado a la red, bloqueos de cuentas o condiciones de denegación de servicio.
Servicios afectados
Los servicios afectados conocidos incluyen:
- Cisco Secure Firewall VPN
- Checkpoint VPN
- Fortinet VPN
- SonicWall VPN
- RD Web Services
- Mikrotik
- Draytek
- Ubiquiti
Los intentos de fuerza bruta utilizan nombres de usuario genéricos y nombres de usuario válidos para organizaciones específicas. El objetivo de estos ataques parece ser indiscriminado y no dirigido a una región o industria en particular.
Direcciones IP asociadas
Las direcciones IP de origen del tráfico están comúnmente asociadas con servicios de proxy, que incluyen entre otros:
- TOR
- VPN Gate
- IPIDEA Proxy
- BigMama Proxy
- Space Proxies
- Nexus Proxy
- Proxy Rack
La lista proporcionada anteriormente no es exhaustiva, ya que los actores de amenazas pueden utilizar servicios adicionales.
Mitigaciones y recursos
Dado el aumento significativo y el gran volumen de tráfico, se han agregado las direcciones IP asociadas conocidas a la lista de bloqueo. Es importante tener en cuenta que es probable que cambien las direcciones IP de origen del tráfico.
Para los servicios VPN de acceso remoto de Cisco, puede encontrar orientación y recomendaciones en un blog de soporte reciente de Cisco.
Datos técnicos y recursos
Estamos incluyendo los nombres de usuario y contraseñas utilizados en estos ataques en los IOCs para crear conciencia. Las direcciones IP y las credenciales asociadas con estos ataques se pueden encontrar en el repositorio de GitHub.