Sonicwall mengatakan klien netextender berbahaya biasa mencuri kredensial VPN

SonicWall telah mengeluarkan penasihat yang memberi tahu pelanggan bahwa versi berbahaya dari aplikasi SonicWall SSL VPN Netextender digunakan untuk mencuri konfigurasi dan kredensial VPN. Perusahaan memperingatkan bahwa aktor ancaman telah memodifikasi dua file yang digunakan oleh aplikasi Netextender VPN, yang digunakan oleh beberapa organisasi untuk memungkinkan pengguna jarak jauh untuk terhubung dengan aman ke jaringan utama. Microsoft dan SonicWall telah mengambil langkah -langkah untuk memblokir penyebaran versi yang dimodifikasi dari aplikasi Netextender.

Aplikasi VPN SonicWall Netextender ditandatangani secara digital oleh aktor ancaman

Dalam penasihat keamanan yang dikeluarkan awal pekan ini, Sonicwall mengatakan bahwa pihaknya mendeteksi Versi yang dimodifikasi dari aplikasi Netextender SSL VPN bekerja sama dengan Microsoft Ancaman Intelijen (MSTIC). Versi berbahaya dari aplikasi ini di -host di situs web yang memungkinkan pengguna untuk mengunduh versi trojanised dari rilis terbaru, versi 10.3.2.27.

File aplikasi Netextender yang dimodifikasi oleh aktor ancaman
Kredit Foto: Sonicwall

Menurut perusahaan, para aktor ancaman secara digital menandatangani versi Trojanised dari aplikasi Netextender, yang memungkinkannya memotong pemeriksaan keamanan di Windows. Itu ditandatangani menggunakan sertifikat digital yang dikeluarkan untuk “Citylight Media Private Limited”.

Jika pengguna mengunduh versi palsu aplikasi SonicWall Netextender VPN, itu akan menginstal dua aplikasi yang dimodifikasi, “neservice.exe” dan “netextender.exe”. Perubahan aktor ancaman ke neservice.exe memungkinkan mereka untuk memotong pemeriksaan sertifikat digital yang dilakukan saat aplikasi dimuat.

Sementara itu, aplikasi Netextender.exe yang dimodifikasi akan mengumpulkan detail tentang konfigurasi VPN pengguna, termasuk nama pengguna, kata sandi, domain, dan informasi lainnya. Ini akan dikirim ke server jarak jauh setelah pengguna mengklik Menghubungkan tombol.

SonicWall telah memperbarui alat deteksi malware-nya dan secara otomatis akan memblokir perangkat lunak berbahaya setelah mengidentifikasinya sebagai GAV: Fake-Netextender (Trojan). Perangkat lunak Windows Defender Microsoft juga akan mendeteksi versi Trojanised dari aplikasi, yang dikategorikan sebagai “silentRoute” Trojan (“Trojanspy: Win32/SilentRoute.A”)

Sertifikat digital yang digunakan untuk menandatangani penginstal juga telah dicabut, dan perusahaan -perusahaan bekerja untuk menjatuhkan situs web yang digunakan untuk menyamar sebagai aplikasi VPN Netextended. Sementara itu, SonicWall telah mendesak pengguna untuk mengunduh aplikasi dari situs webnya alih -alih menggunakan sumber pihak ketiga.