骇客利用Fortinet、MobileIron漏洞结合Zerologon攻击美国-网络

日前发现的Windows Zerologon重大漏洞，现已遭到骇客组织结合Fortinet、MobileIron等产品漏洞，对美国-网络发动攻击。CISA也建议使用其他网络闸道或VPN的用户要留心。

根据美国网络安全暨基础架构安全署（CISA）暨联邦调查局（FBI）昨（12）日发出的安全公告，CISA近日观测到可能是不同APT骇客组织在单一攻击中，使用所谓漏洞串联（vulnerability chaining）手法，开采Windows Netlogon元件的漏洞CVE-2020-1472（即Zerologon）以及多个网络相关产品的旧漏洞，来入侵联邦及地方-网络或应用程序。

CISA分析到这波APT攻击使用的工具及策略，发现攻击者使用到一批网络闸道及VPN产品的漏洞结合Zerologon。Zerologon漏洞能让攻击者利用Netlogon远端协定，建立连结到Windows网域控制器的安全通道，进而掌控所有Active Directory网域内的身份服务，并在网域内的电脑执行恶意程式，为一风险评分10.0的重大漏洞。微软已在8月释出修补程式。而CISA再于9月底发出紧急命令，要求美国-网络立即修补好该漏洞。

在CISA观察到的不同起攻击中，数项网络产品漏洞包括Fortinet BIG-IP的FortiOS SSL VPN漏洞（CVE-2020-13379）、行动装置管理平台MobileIron漏洞（CVE-2020-15505）遭到骇客开采进入受害者网络，然后再结合Zerologon来入侵AD身份服务，他们已经成功用VPN或RDP连线，再以受害者的帐密存取-网络。

这波攻击的对象包含联邦、州-、地方、自治区及领地（SLTT）的-网络，但也包含其他部门。虽然目前评估这些-单位并非因为和选举资讯储存地区邻近而中标，但仍然无法完全排除-网络内代管的选举资讯面临的风险，因为CISA发现到有支援选举的系统遭到非授权存取，只是没有证据显示选举资料有外泄情况。

另一方面，虽然在这波攻击只有两家业者漏洞被开采，不过CISA建议其他面向网络的产品也有类似漏洞，提醒-单位小心。这些被点名的产品漏洞包括Juniper（CVE-2020-1631）、PulseVPN（CVE-2019-11510）、Citrix Netscaler（CVE-2019-19781）及Palo Alto Networks（CVE-2020-2021）。但CISA补充说需要注意的不仅限于此。

Zerologon已然成为骇客跃跃欲试的目标。上月底到本月初思科和微软也分别警告伊朗骇客组织正在对ZeroLogon漏洞发动攻击。