近日，Check Point、思科等多家知名VPN品牌產品接連遭遇黑客攻擊。

Check Point遠程訪問VPN面臨攻擊

據BleepingComputer報道，Check Point公司本周一發布公告稱，黑客正在持續攻擊Check Point遠程訪問VPN設備，試圖入侵企業網絡。

Check Point的遠程訪問功能集成在所有Check Point網絡防火墻中，可以配置為客戶端到站點的VPN，以便通過VPN客戶端訪問公司網絡，或設置為基于網頁訪問的SSLVPN門戶。

Check Point表示，攻擊者正在利用舊的本地賬戶，使用不安全的僅密碼認證方式攻擊安全網關，這種方式應該與證書認證結合使用，以防止漏洞被利用。

Check Point在公告中指出：“我們最近目睹了多家網絡安全供應商的VPN解決方案被入侵。因此，我們一直在密切監控試圖獲取Check Point客戶VPN的未授權訪問嘗試。到2024年5月24日，我們已經識別出少量使用舊VPN本地賬戶的登錄嘗試，這些賬戶依賴于不推薦的密碼認證方式。”

防御措施與建議

為了抵御這些持續攻擊，Check Point警告客戶檢查Quantum Security Gateway和Cloud Guard Network Security產品以及Mobile Access和Remote Access VPN軟件刀片上是否存在此類易受攻擊的賬戶。

Check Point還建議客戶選擇更安全的用戶認證方法，或從安全管理服務器數據庫中刪除易受攻擊的本地賬戶。

此外，Check Point還發布了一個安全網關熱修復程序（https://support.checkpoint.com/results/sk/sk182336），可阻止所有本地賬戶使用密碼進行登錄認證。安裝后，僅使用密碼認證的本地賬戶將被阻止登錄遠程訪問VPN。

思科 VPN設備同樣遭遇攻擊

CheckPoint是最近幾個月第二家警告其VPN設備遭遇攻擊的公司。

今年四月，思科也警告稱，其VPN和SSH服務遭遇廣泛的憑證暴力破解攻擊，一同遭受黑客的攻擊目標還包括Check Point、SonicWall、Fortinet和Ubiquiti等多個廠商的設備。

針對思科VPN的攻擊始于2024年3月18日，攻擊來自TOR出口節點，并使用各種其他匿名工具和代理以規避阻攔。

一個月前，思科警告稱，其運行遠程訪問VPN（RAVPN）服務的CiscoSecureFirewall設備遭遇了大規模的密碼噴灑攻擊，可能屬于第一階段偵察活動的一部分。

安全研究員Aaron Martin將該攻擊歸因于一個未記錄的惡意軟件僵尸網絡“Brutus”，后者控制了至少2萬個IP地址，分布在云服務和住宅網絡中。

上個月，思科還披露稱，國家支持的黑客組織UAT4356（又名STORM-1849）自2023年11月以來一直利用Cisco Adaptive Security Appliance（ASA）和Firepower Threat Defense（FTD）防火墻中的零日漏洞，入侵全球政府網絡，該網絡間諜活動被追蹤為ArcaneDoor。