Sonicwall, kötü niyetli NetExtender istemcisinin VPN kimlik bilgilerini çalmak için kullanıldığını söylüyor

Sonicwall, müşterilere VPN yapılandırmasını ve kimlik bilgilerini çalmak için Sonicwall SSL VPN NetExtender uygulamasının kötü niyetli bir sürümünün kullanıldığını bildiren bir danışma yayınladı. Şirket, tehdit aktörlerinin, uzak kullanıcıların ana ağa güvenli bir şekilde bağlanmasına izin vermek için çeşitli kuruluşlar tarafından kullanılan NetExtender VPN uygulaması tarafından kullanılan iki dosyayı değiştirdiği konusunda uyarıyor. Microsoft ve Sonicwall, NetExtender uygulamasının değiştirilmiş sürümlerinin yayılmasını engellemek için önlemler aldılar.

Sonicwall NetExtender VPN uygulaması tehdit aktörleri tarafından dijital olarak imzalandı

Bu haftanın başlarında yayınlanan bir güvenlik danışmanında, Sonicwall, NetExtender SSL VPN uygulamasının değiştirilmiş sürümü Microsoft Tehdit İstihbaratı (MSTIC) ile işbirliği içinde. Uygulamanın kötü niyetli sürümü, kullanıcıların en son sürümün Truva atlı sürümünü indirmesine izin veren bir internet sitesinde barındırıldı.

Tehdit oyuncusu tarafından değiştirilen NetExtender uygulama dosyaları
Fotoğraf kredisi: Sonicwall

Şirkete göre, tehdit aktörleri NetExtender uygulamasının truva atışlarını dijital olarak imzaladı ve bu da Home windows’ta güvenlik kontrollerini atlamasına izin verdi. “Citylight Media Personal Restricted” e verilen bir dijital sertifika kullanılarak imzalandı.

Bir kullanıcı SonicWall NetExtender VPN uygulamasının sahte sürümünü indirirse, “Neservice.exe” ve “NetExtender.exe” adlı değiştirilmiş iki uygulama yükler. Tehdit oyuncunun Neservice.exe’deki değişiklikleri, uygulama yüklendiğinde gerçekleştirilen dijital sertifika kontrollerini atlamalarına izin verdi.

Bu arada, değiştirilmiş NetExtender.exe uygulaması, kullanıcı adı, şifre, alan adları ve diğer bilgileri de dahil olmak üzere kullanıcının VPN yapılandırması hakkında ayrıntılar toplar. Kullanıcı tıkladıktan sonra bunlar uzak bir sunucuya gönderilir. Bağlamak düğme.

Sonicwall, kötü amaçlı yazılım algılama aracını güncelledi ve kötü amaçlı yazılımları GAV: sahte-netextender (Trojan) olarak tanımladıktan sonra otomatik olarak engelleyecektir. Microsoft’un Home windows Defender yazılımı, “Silentroute” Trojan (“TruvaSpy: Win32/Silentroute.a”) olarak kategorize edilen uygulamanın truva atlı sürümünü de algılayacaktır.

Yükleyiciyi imzalamak için kullanılan dijital sertifika da iptal edildi ve şirketler NetExtended VPN uygulamasını taklit etmek için kullanılan internet sitelerini devralmaya çalıştı. Bu arada Sonicwall, kullanıcıları üçüncü taraf kaynakları kullanmak yerine uygulamayı internet sitesinden indirmeye çağırdı.