O Estado das VPNs Expostas na Europa

Durante anos, os appliances de VPN empresariais foram uma das formas mais fiáveis de entrar numa rede. Não através de um zero-day, mas através de uma falha corrigida há muito tempo, num dispositivo que alguém esqueceu que estava virado para a internet. Queríamos saber quão generalizada esta situação ainda está na Europa e se era possível chegar às organizações afetadas antes de esse acesso ser vendido a outra pessoa. Foi isto que encontramos.

Porque é que as falhas antigas de VPN não morrem

Quando é divulgado um CVE num appliance de VPN, o ciclo é previsível. O vendor publica um advisory e um patch. Os atacantes fazem engenharia reversa do patch, escrevem um exploit e começam a fazer scan à internet em dias. Firmas de threat intelligence documentaram initial access brokers a guardar appliances de VPN comprometidos durante meses antes de o acesso alguma vez ser usado. O patch existe. O advisory existe. E os dispositivos ficam expostos, às vezes durante anos.

As razões são normalmente operacionais, não técnicas. O appliance vive numa filial ou num data center construído há anos e nunca desativado. A equipa que o instalou seguiu em frente. O dispositivo está fora do ciclo de gestão de patches. Às vezes a organização que é dona do range de rede não é a que opera o dispositivo. O resultado é uma população de appliances virados para a internet que ninguém está ativamente a vigiar.

É essa lacuna que esta campanha quis fechar.

A campanha

Focámo-nos em CVEs que afetam appliances de VPN empresariais, divulgados a partir de 2018. Por toda a Europa procurámos organizações ainda a correr equipamento afetado por essas falhas conhecidas, identificámos as que estavam expostas e rastreamos cada dispositivo vulnerável até à entidade responsável por ele. O objetivo era simples: pôr o achado à frente de alguém que o pudesse corrigir.

Avaliámos cerca de 800 organizações. O trabalho foi defensivo de ponta a ponta. Sem exploração, sem acesso, sem dados. Descoberta, atribuição e notificação.

O problema da notificação

Encontrar um dispositivo exposto é a parte fácil. Chegar à pessoa que o pode corrigir é a parte difícil, e a maioria das organizações não facilita. Os contactos de segurança estão em falta, enterrados ou encaminhados para uma inbox genérica que ninguém lê. O dono do range de rede é muitas vezes um provider ou uma holding, não o operador do dispositivo. As grandes empresas estão fragmentadas por subsidiárias, regiões e aquisições, cada uma com a sua infraestrutura e sem uma visão partilhada do que está exposto.

Quando o contacto direto falha, o caminho passa por intermediários. O provider que é dono do espaço IP às vezes consegue chegar ao operador real. Os CERTs e CSIRTs nacionais existem exatamente para isto. Podem receber uma lista de organizações afetadas na sua jurisdição e conduzir a divulgação em seu nome, com a autoridade e os contactos que um particular não tem. Na prática, a notificação é em camadas: primeiro o dono, depois o provider, depois o CSIRT nacional. Algumas organizações corrigem depressa. Muitas nunca respondem.

O que vimos

Os mesmos CVEs continuavam a reaparecer. A exposição não estava concentrada num setor. Cortava finanças, indústria, setor público, tecnologia e serviços, e não favorecia as pequenas empresas face às grandes. A idade da falha não era o fator decisivo. Um CVE de três anos e um CVE de oito anos estavam ambos vivos em produção, em appliances mainstream de vendors mainstream, atrás do limite de rede de organizações que, no papel, deviam saber mais.

Contactámos todas as organizações que identificámos como expostas. Uma minoria respondeu. Algumas reconheceram o achado e corrigiram. Algumas pediram mais detalhe. A maioria não disse nada. Esse silêncio é o verdadeiro achado. Não significa que os dispositivos foram corrigidos. Na maioria dos casos, a exposição simplesmente persistiu.

Um caso que merece reflexão

Nem todos os achados desta campanha vieram de um CVE obscuro ou há muito esquecido. Um dos clusters com que continuámos a cruzar-nos remontava a uma falha de escalada de privilégios na interface web de gestão de uma plataforma de edge networking amplamente implementada. Tinha sido divulgada como zero-day ativamente explorado e, nos dias seguintes à divulgação, scans independentes encontraram um implant persistente plantado em dezenas de milhares de dispositivos por todo o mundo. O vendor lançou uma correção rapidamente. O que encontrámos, anos depois, foi que uma fatia significativa dessa mesma população continua exposta, continua sem patch e continua alcançável exatamente da mesma forma que quando a campanha de implants aconteceu.

Abaixo está uma amostra do output bruto do scanner para esse cluster, tirada diretamente de uma das nossas runs.

O que salta à vista é a densidade, não qualquer linha isolada. O mesmo achado crítico aparece host após host, cada um numa plataforma de hardware diferente, um modelo diferente, um point release diferente. Alguns estão em trains de firmware que receberam correção há anos e nunca foram atualizados. Outros já estavam perto do fim de suporte quando a falha foi divulgada. A dispersão de modelos e versões é a pista: isto nunca foi uma caixa de laboratório mal configurada. É um corte transversal de infraestrutura de produção, instalada por equipas diferentes em alturas diferentes, e deixada quieta desde então.

A assimetria

A parte incómoda deste trabalho é que a visibilidade é simétrica. Tudo o que usámos para encontrar um appliance exposto e notificar o seu dono está disponível para qualquer outra pessoa, incluindo pessoas cujo passo seguinte não é um email. Os initial access brokers fazem este tipo de reconhecimento à escala, todos os dias, e não enviam mensagens de notificação. A diferença entre um defensor e um broker a fazer scan ao mesmo dispositivo é a intenção, não a capacidade. É por isso que o silêncio do lado dos defensores é tão caro. A exposição não está a passar despercebida. Está apenas a deixar de lhe ser reportada.

O que as organizações devem fazer

Se administra infraestrutura virada para a internet, assuma que está a ser vigiada. Um punhado de passos práticos elimina a maior parte do risco:

• Inventarie o que está realmente exposto. VPN, acesso remoto, interfaces de administração. Mantenha a lista atualizada. A maioria das equipas surpreende-se com o que ainda está de pé.
• Acompanhe os CVEs para os seus appliances e versões específicos, não apenas para o seu parque de endpoints. Os dispositivos de edge são a categoria mais frequentemente esquecida.
• Nunca exponha interfaces de gestão, web UIs ou painéis de administração de routers e switches diretamente à internet. Restrinja-os a redes de gestão fidedignas.
• Corrija os appliances de edge no ciclo dos advisories, não no ciclo trimestral. Trate um advisory crítico publicado como uma intrusão ativa até estar fechado.
• Torne-se contactável. Publique um contacto de segurança, respeite o security.txt e encaminhe os relatórios para alguém que os leia. Se um investigador ou um CERT não conseguir chegar a si, a primeira notificação que recebe pode ser um incidente.
• Use o seu CSIRT nacional. Coordenam a divulgação para exatamente este tipo de exposição generalizada e têm contactos a que não consegue chegar.

Avaliámos cerca de 800 organizações. Os patches para a maior parte do que encontrámos estavam disponíveis há anos. Fechar estas exposições não é trabalho glamouroso e, tecnicamente, não é difícil. É operacional. Depende de alguém ser responsável pelo dispositivo e estar contactável quando importa. Na maior parte das vezes, é essa a parte que falta.

Se quer saber se os seus dispositivos de edge estão entre os ainda expostos, a OFFCEPT conduz projetos contínuos de threat exposure management e threat intelligence que mapeiam a sua superfície de ataque virada para a internet, validam-na contra CVEs ativos e lhe dizem exatamente o que corrigir primeiro. Fale connosco.