Aumento de scanning que envolve milhares de IP faz soar alertas para futuros ataques

Investigadores estão a alertar para um aumento significativo na atividade de scanning dirigida às páginas de verificação de login da Palo Alto Network GlobalProtect, o que pode traduzir-se num futuro ataque ou exploração de falha.

Citados pela Bleeping Computer, os investigadores de segurança da GreyNoise, responsáveis por detetarem a atividade pela primeira vez, relataram que quase 24 mil endereços IP exclusivos tentaram aceder às interfaces. O pico desta atividade foi registado a 17 de março e envolveu 20 mil endereços IP exclusivos. 

Dos 24 mil endereços IP, 23.800 foram classificados como “suspeitos”, enquanto 154 foram considerados “maliciosos”. A maioria das tentativas de scanning tem origem no Canadá e nos EUA, país onde está também sediada a maioria dos sistemas visados.

“Os padrões recentemente observados pela GreyNoise sugerem que esta atividade pode significar o surgimento de novas vulnerabilidades num futuro próximo”, escreve Bob Rudis, VP of Data Science da GreyNoise. “Nos últimos 18 a 24 meses, observamos um padrão consistente de direcionamento deliberado de vulnerabilidades mais antigas ou tentativas de ataque e reconhecimento contra tecnologias específicas”, acrescenta no relatório divulgado.

De acordo com a GreyNoise, a consistência na forma como o scanning é executado sugere um esforço para testar as defesas de rede antes de uma possível exploração direcionada ao sistema. Os investigadores destacam também um link para outra atividade que observaram recentemente, relativa a um rastreador PAN-OS, proveniente de uma campanha de espionagem que a Cisco Talos atribuiu ao grupo de cibercriminosos ‘ArcaneDoor’.

A GreyNoise recomenda a revisão dos logs desde meados de março para identificar eventuais sinais de comprometimento, proteger páginas de login e bloquear IP maliciosos conhecidos.

Num comentário ao BleepingComputer, um porta-voz da Palo Alto Networks garante que “a segurança dos nossos clientes é sempre a nossa principal prioridade”. As equipas estão já a “monitorizar ativamente esta situação e a analisar a atividade relatada para determinar o seu potencial impacto e identificar se as mitigações são necessárias”.