Password-Spraying-Angriffe zielen auf VPN-Gateways von Cisco und Palo Alto

Neue Password-Spraying-Angriffe richten sich zunehmend gegen Unternehmens-VPN-Gateways von Cisco und Palo Alto Networks und sorgen für wachsende Bedenken hinsichtlich der Sicherheit von Zugangsdaten in der Remote-Access-Infrastruktur von Unternehmen. Sicherheitsforscher beobachteten einen groß angelegten Anstieg automatisierter Anmeldeversuche gegen SSL-VPN- und GlobalProtect-Portale, bei denen Angreifer auf gestohlene oder häufig wiederverwendete Passwörter setzen, statt Software-Schwachstellen auszunutzen.

Groß angelegte Zugangsdatenkampagne entdeckt

Das Threat-Intelligence-Unternehmen GreyNoise identifizierte die Aktivität Mitte Dezember, nachdem ein plötzlicher Anstieg des Authentifizierungsverkehrs festgestellt worden war. Am 11. Dezember starteten Angreifer innerhalb von 16 Stunden rund 1,7 Millionen Anmeldeversuche gegen GlobalProtect-VPN-Portale von Palo Alto Networks.

Die Kampagne nutzte mehr als 10.000 eindeutige IP-Adressen, wodurch die Angreifer ihre Versuche verteilen und einfache Rate-Limiting-Mechanismen umgehen konnten. Am folgenden Tag verlagerte sich der Fokus auf Cisco-SSL-VPN-Gateways, bei denen die Zahl der angreifenden IP-Adressen deutlich über das normale Hintergrundniveau anstieg.

So funktionieren die Angriffe

Im Gegensatz zu schwachstellenbasierten Angriffen versuchen diese Password-Spraying-Angriffe, sich mit einer großen Anzahl bekannter oder häufig wiederverwendeter Zugangsdaten bei vielen Konten anzumelden. Angreifer testen in der Regel ein oder zwei Passwörter pro Konto, um Kontosperren zu vermeiden und gleichzeitig nach schwachen Authentifizierungspraktiken zu suchen.

GreyNoise berichtete, dass die Anfragen hochgradig strukturierte Muster aufwiesen, die auf skriptbasierte Automatisierung hindeuten. Der Großteil des beobachteten Datenverkehrs stammte aus einer Infrastruktur, die mit einem deutschen Hosting-Anbieter verbunden ist, was auf eine zentrale Koordination statt zufälligem Scannen schließen lässt.

Keine Produktschwachstellen beteiligt

Palo Alto Networks bestätigte, dass die Aktivität nicht auf eine Schwachstelle oder Kompromittierung der eigenen Produkte hindeutet. Stattdessen betonte das Unternehmen, dass die Angriffe vollständig auf den Missbrauch von Zugangsdaten und mangelhafte Passwort-Hygiene zurückzuführen sind.

Sicherheitsanalysten teilten diese Einschätzung und wiesen darauf hin, dass selbst vollständig gepatchte Systeme angreifbar bleiben, wenn Unternehmen keine starken Passwörter und Multi-Faktor-Authentifizierung durchsetzen.

Warum VPN-Gateways weiterhin ein attraktives Ziel sind

VPN-Anmeldeportale bieten Angreifern direkten Zugriff auf interne Unternehmensnetzwerke und stellen damit einen besonders wertvollen Einstiegspunkt dar. Sobald Angreifer über gültige Zugangsdaten verfügen, können sie Perimeter-Sicherheitsmaßnahmen umgehen und sich seitlich innerhalb der Umgebung bewegen.

Zugangsdatenbasierte Angriffe lassen sich zudem leicht skalieren. Angreifer können gestohlene Passwortlisten bei Tausenden von Organisationen wiederverwenden und ihre Infrastruktur anpassen, um einer Entdeckung zu entgehen.

Abwehrmaßnahmen und empfohlene Schritte

Organisationen, die VPN-Gateways von Cisco oder Palo Alto einsetzen, sollten die Kampagne als klare Aufforderung verstehen, ihre Authentifizierungsmechanismen zu stärken.

Empfohlene Maßnahmen sind:

• Durchsetzung von Multi-Faktor-Authentifizierung für alle VPN-Konten
• Blockierung oder Ratenbegrenzung verdächtiger IP-Bereiche
• Überwachung von Anmeldeprotokollen auf ungewöhnliche Volumina oder geografische Muster
• Verpflichtung zu eindeutigen und komplexen Passwörtern für alle Remote-Access-Systeme

Diese Maßnahmen verringern die Wirksamkeit von Password-Spraying-Kampagnen erheblich.

Fazit

Die aktuellen Password-Spraying-Angriffe auf VPN-Gateways von Cisco und Palo Alto machen eine anhaltende Schwachstelle in der Unternehmenssicherheit deutlich: die Wiederverwendung von Zugangsdaten. Selbst ohne Ausnutzung von Software-Schwachstellen können Angreifer erfolgreich sein, wenn Authentifizierungsmaßnahmen unzureichend sind. Da Remote-Zugriffe weiterhin eine zentrale Rolle in Unternehmensumgebungen spielen, wächst der Druck auf Organisationen, die VPN-Authentifizierung zu härten, bevor Angreifer Erfolg haben.