Siden marts 2023 (og muligvis endnu tidligere) har datterselskaber af Akira- og LockBit-ransomware-operatørerne kompromitteret organisationer via Cisco ASA SSL VPN-apparater.
Det skriver Help Net Security på baggrund af en rapport fra sikkerhedfirmaet Rapid7. Heri hedder det, at angribere har udnyttet svage adgangskoder eller standardadgangskoder, ligesom der i andre tilfælde har være tale om målrettede brute-force-angreb på ASA-apparater, hvor multifaktorautentificering (MFA) enten ikke var aktiveret eller ikke blev håndhævet for alle brugere.
Der er nu dukket en ny tjeneste op kaldet "EvilProxy", som stjæler sessionscookies for at omgå MFA og kompromittere konti og vil gøre livet lidt lettere for de cyberkriminelle. EvilProxy blev konstateret første gang i begyndelsen af maj 2022 og er blevet brugt i angreb mod flere ansatte i virksomheder. EvilProxy underminerer MFA, som betragtes som de-facto standarden til at beskytte virksomheden mod uautoriseret indsigt i medarbejderes konti.
Hackerne brugte destinationssider designet til at kapre Office 365-godkendelsesprocessen (selv på konti beskyttet af multifaktorautentificering (MFA). I nogle af de observerede angreb blev ofrene omdirigeret til destinationssiderne ved hjælp af phishing e-mails med vedhæftede HTML filer, der fungerede som "gatekeepere".
Efter at have opnået ofrenes legitimationsoplysninger og deres sessionscookies, loggede hackeren ind på ofrenes e-mail-konti. De brugte efterfølgende deres adgang tl at "snyde" andre i organisationen.
I slutningen af 2021 kom regeringens cyber- og informationssikkerhedsstrategi med et afsnit om den dårlige sikkerhedskultur blandt danskere. Med afsnittet fulgte et interessant og afslørende tal fra rapporten Danskernes informationssikkerhed 2020, som DKCERT udarbejdede i samarbejde med Digitaliseringsstyrelsen. Tallet viste, at kun 16 pct. af danskerne efterlever anbefalingerne om at have kodeord på mere end 12 tegn, der ikke genbruges flere steder.
De to grupper, der har stået bag det seneste års mest spektakulære hackersager, har brugt samme teknik til kompromittering af deres angrebsmål. Det skriver mediet Ars Technica i en længere og lærerig artikel om det, som ellers anses for at være den stærkeste beskyttelse mod overtagelse af konti: Multifaktorautentifikation (MFA).
