Sonicwall diz que o cliente netextender malicioso usado para roubar credenciais de VPN

A Sonicwall emitiu um aviso que informa aos clientes que uma versão maliciosa de seu aplicativo SonicWall SSL VPN Netextender está sendo usado para roubar a configuração e credenciais da VPN. A empresa alerta que os atores de ameaças modificaram dois arquivos usados pelo aplicativo NETEXTENDER VPN, que é usado por várias organizações para permitir que usuários remotos se conectem com segurança à rede principal. A Microsoft e o Sonicwall tomaram medidas para bloquear a propagação das versões modificadas do aplicativo Netextender.

Sonicwall Netextender VPN Utility foi assinado digitalmente por atores de ameaças

Em um aviso de segurança emitido no início desta semana, Sonicwall disse que detectou o Versão modificada do aplicativo NETEXTENDER SSL VPN Em colaboração com a Microsoft Ameak Intelligence (MSTIC). A versão maliciosa do aplicativo foi hospedada em um website que permitia aos usuários baixar a versão trojanizada da versão mais recente, versão 10.3.2.27.

Os arquivos de aplicativos netextender modificados pelo ator de ameaças
Crédito da foto: Sonicwall

Segundo a empresa, os atores da ameaça assinaram digitalmente a versão trojanizada do aplicativo Netextender, que permitiu ignorar as verificações de segurança no Home windows. Foi assinado usando um certificado digital emitido para “Citylight Media Personal Restricted”.

Se um usuário baixasse a versão falsa do aplicativo Sonicwall Netextender VPN, ele instalaria dois aplicativos modificados, “neservice.exe” e “netextender.exe”. As mudanças do ator de ameaças no neservice.exe permitiram que eles ignorassem as verificações de certificado digital executadas quando o aplicativo é carregado.

Enquanto isso, o aplicativo Modificado NETEXTENDER.EXE coletaria detalhes sobre a configuração VPN do usuário, incluindo seu nome de usuário, senha, domínio e outras informações. Estes seriam enviados para um servidor remoto assim que o usuário clicou no Conectar botão.

A Sonicwall atualizou sua ferramenta de detecção de malware e bloqueará automaticamente o software program malicioso depois de identificá-lo como GAV: Pretend-Netextender (Trojan). O software program Home windows Defender da Microsoft também detectará a versão trojanizada do aplicativo, que é categorizada como “Silentrote” Trojan (“Trojanspy: Win32/Silentrote.a”)

O certificado digital usado para assinar o instalador também foi revogado e as empresas trabalharam para derrubar os websites que estavam sendo usados para se passar pelo aplicativo VPN netextended. Enquanto isso, a Sonicwall instou os usuários a baixar o aplicativo de seu website, em vez de usar fontes de terceiros.