VPN-Anmeldeversuche stiegen Anfang Dezember deutlich an, als Angreifer eine koordinierte Kampagne gegen exponierte GlobalProtect-Portale starteten. Die Aktivität umfasste große Wellen von Brute-Force-Angriffen sowie umfangreiche Scans von SonicWall-API-Endpunkten. Sicherheitsteams beobachten die Entwicklung nun genau, da die Angriffe Systeme betreffen, die häufig die Kernnetzwerke von Unternehmen schützen.
Großangelegte Angriffe trafen GlobalProtect-Systeme
Die Kampagne begann mit aggressiven Brute-Force-Versuchen gegen GlobalProtect-VPN-Portale. Tausende eindeutige IP-Adressen waren beteiligt, und viele nutzten ähnliche Client-Fingerabdrücke. Dieses einheitliche Verhalten deutet darauf hin, dass die Aktivität von einer organisierten Gruppe und nicht von zufälligem Datenrauschen stammte.
Die Angreifer untersuchten anschließend API-Endpunkte auf SonicWall-SonicOS-Geräten. Diese Endpunkte steuern Verwaltungsfunktionen, sodass unbefugter Zugriff eine weitreichende Kontrolle über Netzwerkeinstellungen ermöglichen könnte. Die Überschneidung zwischen VPN-Brute-Force-Aktivität und API-Scans verstärkte die Sorge vor umfassenderer Aufklärung.
Da GlobalProtect häufig als Zugangspunkt zu Unternehmensnetzwerken dient, erhöht jede Zunahme von Loginversuchen das Risiko kompromittierter Zugangsdaten. Angreifer testen mit Brute-Force-Wellen oft gestohlene Passwörter oder suchen nach schwachen Konten. Dieses Muster entspricht Methoden, die von Access-Brokern genutzt werden, die Einstiege an Ransomware-Gruppen verkaufen.
Zunehmende Intensität während Spitzenperioden
Telemetriedaten zeigten Millionen von Sitzungen, die auf GlobalProtect-Endpunkte gerichtet waren. In einer Spitzenphase beobachteten Forscher mehr als zwei Millionen Versuche innerhalb weniger Tage. Der Datenverkehr stieg während eines einzigen 24-Stunden-Zeitraums weiter an und erreichte den höchsten Stand seit mehreren Monaten.
Diese Zahlen zeigen, dass die Angreifer umfangreiche Automatisierung einsetzten. Da die Kampagne viele IP-Adressen nutzte, verloren einfache Blockierungsmaßnahmen an Wirksamkeit. Diese Taktik ermöglicht es Angreifern, grundlegende Beschränkungen zu umgehen und einzelne Quellen hinter einer breiten Infrastruktur zu verbergen.
Warum die Ziele wichtig sind
GlobalProtect-Portale dienen als Zugangspunkte für Remote-Mitarbeiter, Partner und Administratoren. Wenn Angreifer diese Portale testen, suchen sie häufig nach schwachen Passwörtern oder Fehlkonfigurationen. Da viele Unternehmen ihre VPN-Loginseiten weiterhin im Internet exponieren, bleibt die Angriffsfläche groß.
Die SonicWall-Scans zeigen ein weiteres Risiko. API-Endpunkte an Firewalls können Zugriff auf Konfigurationskontrollen bieten. Finden Angreifer eine Schwachstelle, könnten sie Schutzmechanismen deaktivieren, neue Regeln erstellen oder tiefer in interne Netzwerke eindringen. Die Kombination aus VPN- und Firewall-Aufklärung deutet auf mehr als nur gewöhnliches Scannen hin.
Empfohlene Schutzmaßnahmen
Organisationen sollten die Exponierung so weit wie möglich reduzieren. Administratoren können den Zugriff auf VPN-Portale über IP-Allowlists, Geoblocking oder private Zugangsgateways einschränken. Starke Authentifizierung, einschließlich MFA, bleibt essenziell. Da Angreifer häufig alte Zugangsdaten testen, spielt auch Passworthygiene eine wichtige Rolle.
Sicherheitsteams sollten Firewall-Richtlinien prüfen und sicherstellen, dass Verwaltungs-APIs nicht öffentlich zugänglich sind. Aktualisierte Versionen von PAN-OS und SonicOS beheben bekannte Schwachstellen, daher reduziert zeitnahes Patchen das Risiko. Logging und Alarmierung sollten wiederholte Loginfehler oder ungewöhnliche Scanmuster erkennen.
Proaktive Überwachung hilft dabei, frühe Anzeichen von Credential-Stuffing oder Brute-Force-Aktivität zu identifizieren. Da Angreifer häufig zu zuvor gescannten Zielen zurückkehren, ist langfristige Sichtbarkeit wichtig.
Fazit
VPN-Anmeldeversuche stiegen deutlich in einer koordinierten Kampagne, die GlobalProtect- und SonicWall-Systeme ins Visier nahm. Angreifer nutzten Brute-Force-Methoden, automatisierte Scans und verteilte Infrastruktur, um kritische Netzwerkeinstiegspunkte zu sondieren. Obwohl keine größeren Sicherheitsvorfälle bestätigt wurden, zeigt das Ausmaß der Aktivität, dass Organisationen ihre Remote-Zugangssysteme stärken und die Verwaltungsschnittstellen ihrer Firewalls absichern müssen. Starke Authentifizierung, reduzierte Exponierung und zeitnahe Updates bieten den wirksamsten Schutz gegen zukünftige Angriffswellen.
0 Kommentare zu „VPN-Anmeldeversuche steigen deutlich gegen GlobalProtect-Portale“