Злоумышленники атакуют компании через Cisco WebVPN

На протяжении атак преступники внедряют код JavaScript в страницу авторизации и похищают учетные эти. Согласно данным экспертов ИБ-компании Volexity, преступники применяют ответ Cisco Clientless SSL VPN (WebVPN) для кражи ответственных учетных данных и компрометации корпоративных совокупностей разных организаций. Cisco WebVPN разрешает организовать удаленный доступ к сетям.

Для наладки надёжного соединения, WebVPN применяет Secure Socket Layer Protocol и Transport Layer Security (SSL/TLS1). Через корпоративный web-портал пользователи могут получить доступ к ресурсам компании и внутренним документам. 

Как информируют эксперты, атаки преступников направлены на страницу авторизации клиентов WebVPN с целью компрометации ответственных учетных данных пользователей. Атаки осуществляются несколькими способами. Один из них предполагает эксплуатацию уязвимости (CVE-2014-3393), разрешающей обойти механизм аутентификации. Брешь существует из-за неточности в механизме авторизации фреймворка Clientless SSL VPN.

В атаках, зафиксированных специалистами Volexity, преступники внедряли вредоносный код JavaScript в страницу авторизации целевой компании. Со своей стороны, код вызывал удаленный скрипт, предназначенный для кражи данных из формы регистрации. В рамках одной из кампаний атакующие размещали скрипт на взломанном сайте одной из негосударственных организаций. Перечень жертв включает медицинские компании, специальные научно-исследовательские университеты, негосударственные организации, академии и университеты, и вдобавок производителей электроники.