Actores de amenazas explotan dispositivos SonicWall obsoletos para robar datos sensibles

El Grupo de Inteligencia de Amenazas de Google (GTIG) y Mandiant han descubierto una campaña en curso que aprovecha las vulnerabilidades en los dispositivos SonicWall Secure Mobile Access (SMA) 100 series obsoletos para robar datos sensibles. El actor de amenazas, UNC6148, utiliza credenciales y semillas OTP robadas previamente para recuperar el acceso incluso después de las actualizaciones de seguridad. Una puerta trasera llamada OVERSTEP modifica el proceso de arranque para obtener acceso persistente, robo de credenciales y ocultación de malware. Si bien posiblemente esté relacionado con la banda de ransomware Abyss, los motivos de los atacantes y el número de víctimas siguen sin estar claros. SonicWall ha publicado una actualización que aconseja a los usuarios que restablezcan los enlaces OTP.