Automatisierte Login-Angriffe auf Cisco- und Palo-Alto-VPNs

Laut GreyNoise soll es Mitte Dezember eine koordinierte, automatisierte Kampagne gegeben haben, die sich gegen die Authentifizierungsinfrastruktur von Unternehmens-VPNs richtete. Betroffen waren dabei insbesondere Cisco SSL VPNs und Palo Alto Networks GlobalProtect-Dienste. Die Aktivität wurde über zwei Tage hinweg beobachtet und soll keine Schwachstellen ausgenutzt, sondern auf groß angelegte Login-Versuche mit bekannten Zugangsdaten gesetzt haben.

Palo Alto GlobalProtect besonders stark betroffen

Am 11. Dezember seien laut GreyNoise rund 1,7 Millionen automatisierte Login-Versuche auf GlobalProtect-Portale registriert worden. Diese Angriffe seien über mehr als 10.000 verschiedene IP-Adressen erfolgt, die vor allem VPN-Zugänge in den USA, Pakistan und Mexiko ins Visier genommen hätten. Der Großteil des Datenverkehrs stammte aus dem IP-Adressraum des deutschen Hosting-Anbieters 3xK GmbH. Dies deute auf zentralisierte, cloudbasierte Infrastruktur hin, nicht auf verteiltes Nutzerverhalten.

Einheitliche Muster deuten auf automatisierte Skripte

Die Anfragen sollen einheitlich aufgebaut gewesen sein, wobei häufig wiederkehrende Nutzername-Passwort-Kombinationen verwendet worden seien. Ungewöhnlich sei laut GreyNoise die Verwendung eines Browser-ähnlichen Firefox-Nutzerprofils, das sonst nicht typisch für automatisierte Angriffe aus diesem Umfeld sei. Die gleichmäßige Struktur und zeitliche Koordination sprächen für automatisierte Skripte zur Prüfung von Zugangsmöglichkeiten; nicht für gezielte Angriffe oder das Ausnutzen von Schwachstellen.

Zunahme auch bei Cisco SSL VPNs

Am Folgetag, dem 12. Dezember, seien ähnliche Muster bei Cisco SSL VPN-Endpunkten beobachtet worden. Hier sei die Zahl der täglich angreifenden IP-Adressen von unter 200 auf 1.273 gestiegen. Die Angriffe richteten sich insbesondere gegen sogenannte Facade-Sensoren, was auf opportunistisches Verhalten hinweise. Auch hier stamme der Datenverkehr überwiegend von der 3xK GmbH, was auf einen Zusammenhang mit den Angriffen auf die GlobalProtect-Dienste schließen lasse.

Die Angreifer hätten auch bei Cisco VPNs automatisierte Login-Versuche durchgeführt, unterstützt durch typische Authentifizierungsabläufe inklusive CSRF-Token-Handling und strukturierter Eingabeparameter.

Handlungsempfehlungen für Unternehmen

GreyNoise empfiehlt Unternehmen, VPN-Systeme regelmäßig zu überprüfen und mit starken Passwörtern sowie Zwei-Faktor-Authentifizierung (MFA) abzusichern. Zudem sollten verdächtige Login-Versuche aktiv überwacht und gegebenenfalls eskaliert werden.