Incidente en copias de seguridad de SonicWall
La empresa de ciberseguridad SonicWall ha alertado a sus clientes sobre una brecha de seguridad que afectó a las cuentas de MySonicWall. La compañía detectó actividad sospechosa dirigida al servicio de copias de seguridad en la nube para firewalls, y agentes de amenazas desconocidos accedieron a los archivos de preferencias del firewall almacenados en la nube para menos del 5% de sus clientes.
Detalles del incidente
Aunque las credenciales de los archivos estaban cifradas, estos también incluían información que podría facilitar a los atacantes la explotación del firewall. La compañía afirmó no tener conocimiento de que los agentes de amenazas hayan filtrado alguno de estos archivos en línea, y añadió que no se trató de un ataque de ransomware dirigido a su red.
Acciones recomendadas
Como resultado del incidente, la compañía insta a los clientes a seguir los siguientes pasos: iniciar sesión en MySonicWall.com y verificar si las copias de seguridad en la nube están habilitadas; verificar si los números de serie afectados se han marcado en las cuentas; iniciar procedimientos de contención y remediación limitando el acceso a los servicios desde la WAN, desactivando el acceso a la administración HTTP/HTTPS/SSH, deshabilitando el acceso a SSL VPN e IPSec VPN, restableciendo las contraseñas y los TOTP guardados en el firewall, y revisando los registros y los cambios de configuración recientes para detectar actividad inusual.
Recomendaciones adicionales
Además, se recomienda a los clientes afectados que importen los nuevos archivos de preferencias proporcionados por SonicWall a los firewalls. El nuevo archivo de preferencias incluye los siguientes cambios: contraseña aleatoria para todos los usuarios locales; restablecer la vinculación TOTP, si está habilitada; claves aleatorias de VPN IPSec.
Contexto del incidente
La revelación se produce mientras los actores de amenazas afiliados al grupo de ransomware Akira siguen atacando dispositivos SonicWall sin parches para obtener acceso inicial a las redes objetivo mediante la explotación de una falla de seguridad de un año de antigüedad (CVE-2024-40766, CVSS: 9,3).
Incidente relacionado con ransomware Akira
A principios de esta semana, la empresa de ciberseguridad Huntress detalló un incidente de ransomware Akira que involucraba la explotación de las VPN de SonicWall. En este incidente, los actores de amenazas utilizaron un archivo de texto sin formato que contenía códigos de recuperación de su software de seguridad para eludir la autenticación multifactor (MFA), suprimir la visibilidad del incidente e intentar eliminar las protecciones de los endpoints.