Atores de ameaças exploram appliances SonicWall descontinuados para roubar dados sensíveis

O Google Threat Intelligence Group (GTIG) e a Mandiant descobriram uma campanha em andamento que explora vulnerabilidades em appliances SonicWall Secure Mobile Access (SMA) 100 series descontinuados para roubar dados sensíveis. O grupo de ameaças, UNC6148, usa credenciais e sementes OTP roubadas anteriormente para recuperar o acesso mesmo após as atualizações de segurança. Um backdoor chamado OVERSTEP modifica o processo de inicialização para acesso persistente, roubo de credenciais e ocultação de malware. Embora possa estar relacionado ao grupo de ransomware Abyss, os motivos dos atacantes e a contagem de vítimas permanecem incertos. A SonicWall lançou uma atualização aconselhando os usuários a redefinir os vínculos OTP.