El grupo de ransomware Akira ha intensificado sus ataques contra dispositivos SonicWall SSL VPN, aprovechando tanto vulnerabilidades de seguridad como configuraciones deficientes para infiltrarse en redes corporativas. Según informes de Rapid7 y SonicWall, los atacantes están explotando una vulnerabilidad de un año de antigüedad (CVE-2024-40766) donde las contraseñas de usuarios locales no se restablecen durante la migración, lo que permite ataques de fuerza bruta. Además, se aprovechan de configuraciones incorrectas en los grupos de usuarios predeterminados de LDAP SSL VPN, que otorgan acceso amplio a usuarios comprometidos, y acceden al Virtual Office Portal para configurar la autenticación multifactor (MFA) con cuentas válidas.
Para mitigar estos riesgos, se recomienda a las organizaciones:
* **Rotar las contraseñas** de todas las cuentas locales de SonicWall.
* **Eliminar las cuentas locales** de SonicWall que no se utilicen o estén inactivas.
* Asegurarse de que las políticas de **MFA/TOTP** estén correctamente configuradas.
* **Restringir el acceso** al Virtual Office Portal a la red interna.
El grupo Akira, activo desde marzo de 2023, se ha convertido en una amenaza persistente en el panorama del ransomware, afectando a cientos de organizaciones. Sus ataques suelen seguir un flujo estándar: acceso inicial a través de SSL VPN, escalada de privilegios, robo de datos confidenciales, eliminación de copias de seguridad y, finalmente, el despliegue del ransomware.
Además de las vulnerabilidades en SonicWall, los atacantes están utilizando técnicas de SEO poisoning para distribuir instaladores troyanizados de herramientas de gestión de TI, que a su vez instalan el cargador de malware Bumblebee. Este malware facilita la distribución de AdaptixC2, un framework de post-explotación que permite a los atacantes ejecutar comandos, transferir archivos y exfiltrar datos.
Desde INGENIERÍA TELEMÁTICA SAS, instamos a las organizaciones que utilizan dispositivos SonicWall SSL VPN a revisar urgentemente sus configuraciones de seguridad y aplicar las medidas de mitigación recomendadas. Si necesita ayuda para proteger su infraestructura contra ataques de ransomware como Akira, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente. Contamos con la experiencia y las soluciones, incluyendo firewalls, EDR/XDR, SOC y gestión de infraestructura, para proteger su empresa.
Fuente original: Ver aquí