SonicWall ha emitido una alerta instando a sus clientes a restablecer sus credenciales después de que archivos de configuración de firewall fueran expuestos en una brecha de seguridad que afectó a cuentas de MySonicWall. La compañía detectó actividad sospechosa dirigida al servicio de respaldo en la nube para firewalls, donde actores de amenazas desconocidos accedieron a archivos de preferencias de firewall almacenados en la nube de menos del 5% de sus clientes.
A pesar de que las credenciales dentro de los archivos estaban encriptadas, estos también incluían información que podría facilitar a los atacantes la explotación del firewall. SonicWall asegura que no tiene conocimiento de que estos archivos hayan sido filtrados en línea y que no se trata de un ataque de ransomware a su red. La brecha parece ser una serie de ataques de fuerza bruta dirigidos a obtener acceso a los archivos de preferencia almacenados para su uso potencial por parte de los atacantes. La compañía está investigando quién está detrás del ataque.
Como resultado del incidente, SonicWall recomienda a sus clientes seguir los siguientes pasos:
-
Iniciar sesión en MySonicWall.com y verificar si las copias de seguridad en la nube están habilitadas.
-
Verificar si los números de serie afectados han sido marcados en las cuentas.
-
Iniciar procedimientos de contención y remediación, limitando el acceso a los servicios desde la WAN, desactivando el acceso a la gestión HTTP/HTTPS/SSH, desactivando el acceso a SSL VPN e IPSec VPN, restableciendo contraseñas y TOTPs guardados en el firewall, y revisando los registros y los cambios de configuración recientes para detectar actividad inusual.
Adicionalmente, se recomienda a los clientes afectados importar archivos de preferencias actualizados proporcionados por SonicWall en los firewalls. El nuevo archivo de preferencias incluye los siguientes cambios:
-
Contraseña aleatoria para todos los usuarios locales.
-
Restablecimiento del enlace TOTP, si está habilitado.
-
Claves VPN IPSec aleatorias.
Este incidente se produce en un contexto donde el grupo de ransomware Akira ha estado apuntando a dispositivos SonicWall sin parches explotando una vulnerabilidad de un año (CVE-2024-40766).
En INGENIERÍA TELEMÁTICA SAS, entendemos la importancia de proteger su infraestructura de seguridad. Si utiliza SonicWall, le recomendamos seguir las instrucciones de SonicWall para mitigar el riesgo. Para una evaluación de seguridad completa y soluciones de protección avanzadas, incluyendo firewalls, EDR/XDR, SOC y gestión de infraestructura, no dude en contactarnos a través de nuestro formulario de contacto o por los medios habituales si ya es cliente. Estamos aquí para ayudarle a proteger su negocio.
Fuente original: The Hacker News — ver artículo →