Zero-Day-Schwachstelle: Hacker verbreiten Ransomware via Cisco VPN

Der US-amerikanische Netzwerkausrüster Cisco warnt vor einer Zero-Day-Schwachstelle in der VPN-Funktion der Adaptive Security Appliance (ASA) und Firepower Threat Defense (FTD), die aktiv von Hackern ausgenutzt wird, um sich Zugang zu Unternehmensnetzwerken zu verschaffen und dort eine Ransomware einzuschleusen. Der Schweregrad der als CVE-2023-20269 registrierten Sicherheitslücke ist dem Hersteller zufolge als "mittel" eingestuft. Einen Patch soll es erst zu einem späteren Zeitpunkt geben.

Über die Schwachstelle sei es einem nicht authentifizierten Angreifer möglich, aus der Ferne ungehindert einen Brute-Force-Angriff durchzuführen, um gültige Zugangsdaten zu ermitteln. Mithilfe der zugehörigen Konten könne ein böswilliger Akteur anschließend eine clientlose SSL-VPN-Verbindung zum Netzwerk des angegriffenen Unternehmens aufbauen, was je nach Netzwerkkonfiguration unterschiedliche Auswirkungen haben kann.

Laut Bleeping Computer gab es schon im letzten Monat Berichte über die Akira-Ransomware-Gruppe, die Unternehmensnetzwerke über Cisco-VPN-Geräte infiltriert haben soll. Auch die Ransomware-Gruppe Lockbit, die bereits für zahlreiche prominente Hackerangriffe verantwortlich ist, habe kurz darauf ein nicht dokumentiertes Sicherheitsproblem in VPN-Geräten von Cisco ausgenutzt. Detaillierte Informationen zu der Schwachstelle habe es aber zu diesem Zeitpunkt noch nicht gegeben.

Administratoren sollten handeln

Bis zur Veröffentlichung eines Sicherheitsupdates empfiehlt Cisco den jeweils zuständigen Administratoren, einige Sicherheitsmaßnahmen zu ergreifen, mit denen sie möglichen Cyberangriffen vorbeugen können. Vor allem die Aktivierung der Multi-Faktor-Authentifizierung (MFA) sei entscheidend, damit böswillige Hacker trotz ermittelter Zugangsdaten keinen Zugriff auf die zugehörigen Konten erhalten.

Darüber hinaus sei es aber unter anderem auch ratsam, Benutzer auf die Verwendung bestimmter Verbindungsprofile zu beschränken, Dynamic Access Policies (DAP) zu verwenden und den VPN-Zugriff per Default Group Policy (DfltGrpPolicy) zu unterbinden, sofern dieser nicht erforderlich ist.