Palo Alto Networks-Scans nehmen zu, während Hacker Login-Portale ins Visier nehmen

Cybersicherheitsforscher haben einen deutlichen Anstieg von Palo Alto Networks-Scans festgestellt, die darauf abzielen, anfällige Login-Portale zu identifizieren. Der starke Anstieg deutet darauf hin, dass Angreifer größere Ausnutzungskampagnen gegen GlobalProtect-VPNs und PAN-OS-Geräte vorbereiten könnten.

Starker Anstieg der Scan-Aktivität

Laut Daten von GreyNoise stieg die Zahl der IP-Adressen, die Palo Alto Networks-Portale scannen, Anfang Oktober um mehr als 500 %.
Am 3. Oktober versuchten über 1.285 eindeutige IP-Adressen, auf die Login-Seiten von GlobalProtect und PAN-OS zuzugreifen – verglichen mit einem üblichen Durchschnitt von etwa 200.

Die meisten Scan-Aktivitäten stammten aus den USA, gefolgt vom Vereinigten Königreich, den Niederlanden, Kanada und Russland.
GreyNoise stufte 91 % der IP-Adressen als verdächtig und weitere 7 % als böswillig ein.

Die Scans richteten sich hauptsächlich gegen emulierte Palo Alto Networks-Endpunkte, die von GreyNoise gehostet werden. Analysten vermuten, dass Angreifer testen, wie diese Systeme reagieren, bevor sie echte Angriffe versuchen.

Mögliche Motive hinter dem Anstieg

Die zunehmende Welle von Networks-Scans könnte Teil von Aufklärungskampagnen sein. Hacker führen häufig groß angelegte Scans durch, um anfällige Versionen, offene Ports oder falsch konfigurierte VPN-Gateways zu identifizieren.
Sobald sie mögliche Schwachstellen erkennen, können sie gezielte Exploits oder Anmeldeangriffe durchführen.

Ähnliche Scan-Aktivitäten richteten sich kürzlich gegen Grafana-Server, die erneut über die Schwachstelle CVE-2021-43798 ausgenutzt werden.
Forscher vermuten, dass Bedrohungsakteure ihren Fokus auf mehrere Unternehmensplattformen gleichzeitig ausweiten.

Sicherheitsempfehlungen

Organisationen, die Palo Alto Networks-Firewalls oder GlobalProtect VPNs verwenden, sollten:

• Zugriffsprotokolle überwachen, um ungewöhnliche Login-Versuche oder unbefugten Zugriff zu erkennen.
• Mehrfaktor-Authentifizierung aktivieren, um das Risiko von Kontoübernahmen zu verringern.
• Alle PAN-OS-Geräte aktualisieren und patchen, um bekannte Schwachstellen zu schließen.
• Externen Zugriff auf Verwaltungsoberflächen einschränken und Netzwerkaktivitäten auf Auffälligkeiten überwachen.

Fazit

Der plötzliche Anstieg der Palo Alto Networks-Scans unterstreicht das wachsende Interesse von Cyberkriminellen an Unternehmensinfrastrukturen. Auch wenn bislang keine direkten Angriffe beobachtet wurden, zeigt die Scan-Aktivität, dass Angreifer potenzielle Ziele kartieren.
Proaktive Updates, strenge Zugriffskontrollen und kontinuierliche Überwachung bleiben entscheidend, um Unternehmensnetzwerke sicher zu halten.