SonicWall VPN-Schwachstellen und KI-gestützte Hacker-Kampagnen bergen neue Risiken für die Unternehmensinfrastruktur
TL;DR
SonicWall VPN-Schwachstellen und KI-gestützte Hacker-Kampagnen bergen neue Risiken für die Unternehmensinfrastruktur
Sicherheitsforscher liefern sich derzeit ein hochriskantes Katz-und-Maus-Spiel mit SonicWall Gen 7 Firewalls. Eine koordinierte Welle von Cyberangriffen trifft diese Geräte hart. Während die Gerüchteküche anfangs von einem neuen Zero-Day-Exploit sprach, ist die Realität etwas bodenständiger – und vielleicht frustrierender. Es handelt sich nicht um eine versteckte, unentdeckte Schwachstelle, sondern um ein klassisches Versäumnis bei der Sicherheits-Hygiene. Das Chaos steht in direktem Zusammenhang mit CVE-2024-40766, einem Problem bei der Zugriffskontrolle innerhalb der SonicOS-Verwaltung und SSL-VPN-Dienste.
Die Strategie ist brutal in ihrer Einfachheit. Angreifer führen umfangreiche Aufklärungsmaßnahmen durch und versuchen, lokale Benutzerkonten per Brute-Force zu knacken. Das eigentliche Problem? Sie profitieren von Konfigurationsfehlern, die bei Hardware-Migrationen übersehen wurden. Wenn Unternehmen ihre alternde Gen 6-Hardware gegen neue Gen 7-Firewalls austauschen, übernehmen sie oft alte Gewohnheiten – insbesondere das Versäumnis, Passwörter für lokale Administratoren oder SSL-VPNs zurückzusetzen. Diese einfache Nachlässigkeit lässt die Vordertür für jeden mit einem Skript und ein wenig Geduld sperrangelweit offen.
Das Ausmaß der Aufklärung
Um das schiere Ausmaß dieser Bedrohung zu verstehen, lohnt ein Blick auf die Daten von GreyNoise. Zwischen dem 22. und 25. Februar 2026 verfolgten sie eine massive, koordinierte Durchsuchung des Internets. Wir sprechen von 84.000 Scan-Sitzungen von über 4.300 eindeutigen IP-Adressen in nur vier Tagen. Ihr Ziel war einfach: jeden aktiven SSL-VPN-Endpunkt auf der Landkarte zu finden. Sobald eine Liste der Ziele vorliegt, beginnt die Phase des Credential Stuffing.
Laut der Analyse von GreyNoise suchten etwa 92 % dieser Sonden nach einem spezifischen API-Endpunkt, der bestätigt, ob die SSL-VPN-Funktionalität auf einem Gerät überhaupt aktiv ist. Um unter dem Radar zu bleiben und Ratenbegrenzungen zu umgehen, leiten diese Akteure fast ein Drittel ihres Datenverkehrs über kommerzielle Proxy-Netzwerke. Dies ist eine clevere Methode, um ihren Ursprung zu verschleiern und es Verteidigern unmöglich zu machen, bösartige Bereiche zu blockieren, ohne versehentlich legitimen Datenverkehr zu unterbinden.
Technische Taktiken und das Ransomware-Playbook
Die Ausnutzung der SonicWall VPN-Infrastruktur geht weit über den einfachen unbefugten Zugriff hinaus. Sobald ein Angreifer mit kompromittierten lokalen Anmeldedaten Fuß gefasst hat, bleibt er nicht untätig. Er geht in die Vollen. Wir beobachten den Einsatz von „Bring Your Own Vulnerable Driver“ (BYOVD)-Taktiken, insbesondere unter Verwendung von Treibern wie rwdrv.sys und hlpdrv.sys. Durch das Laden dieser Treiber in das System erlangen sie privilegierte Zugriffsrechte, die es ihnen ermöglichen, gängige Endpoint-Sicherheitssoftware einfach zu umgehen.
Letztendlich geht es um Geld. Die Akira-Gruppe wurde als Hauptakteur identifiziert, und ihr Vorgehen ist klinisch:
- Credential Harvesting: Sie graben tief, um weitere Schlüssel zum System zu finden, mit dem Ziel, sich lateral zu bewegen, bis sie das gesamte Netzwerk kontrollieren.
- System-Sabotage: Sie löschen Volume Shadow Copies, um jede Chance auf eine einfache Wiederherstellung zu zunichte zu machen, und bereinigen Windows-Ereignisprotokolle, um das IT-Team im Dunkeln zu lassen.
- Ransomware-Ausführung: Sobald die Bühne bereitet ist, verschlüsseln sie alles und hinterlassen eine Lösegeldforderung. Es ist ein bewährter Erpressungszyklus, der zunehmend automatisiert wird.
Migrationsrisiken und der Weg nach vorn
SonicWall hat klargestellt: Dies ist kein neuer Zero-Day-Exploit. Es ist ein Problem der Systemhärtung. Die Untersuchung der Vorfälle – derzeit weniger als 40 – deutet direkt auf Umgebungen hin, die bei Hardware-Upgrades alte Einstellungen importiert haben. Wenn Sie auf Gen 7 SonicWall Firewalls migriert sind und Ihre alten Anmeldedaten nicht bereinigt haben, sitzen Sie effektiv auf einem Pulverfass.
| Risikofaktor | Auswirkungen |
|---|---|
| Migrierte Anmeldedaten | Schwache oder veraltete Passwörter von Gen 6-Hardware ermöglichen einfachen Brute-Force-Zugriff. |
| Exponierte Endpunkte | Über 430.000 Firewalls sind öffentlich erreichbar, 25.000 davon weisen kritische Schwachstellen auf. |
| BYOVD-Taktiken | Bösartige Treiber ermöglichen es Angreifern, Sicherheitsüberwachungstools zu umgehen. |
Die Lösung ist so unspektakulär wie das Problem: Aktualisieren Sie Ihre Firmware und prüfen Sie Ihre Konfigurationen. SonicOS 7.3 bietet dringend benötigte Verbesserungen beim Schutz gegen Brute-Force-Angriffe und erzwingt eine bessere MFA-Durchsetzung. Wenn Sie kürzlich auf Gen 7-Hardware umgestiegen sind, unterbrechen Sie Ihre Arbeit und setzen Sie jedes Passwort für lokale Benutzerkonten zurück, das mit dem SSL-VPN-Zugriff verknüpft ist. Gehen Sie nicht davon aus, dass Ihre alten Passwörter sicher sind.
Das Gesamtbild
Die GritRep-Analyse zu Akiras Taktiken verdeutlicht eine harte Realität: Peripheriegeräte sind die gefährlichsten Fehlerquellen. SSL-VPNs bilden die Brücke zwischen der Außenwelt und Ihren internen Kronjuwelen. Wenn Gruppen wie Akira oder Fog diese ins Visier nehmen, suchen sie nicht nur nach einem schnellen Erfolg; sie suchen nach einem Weg zu massiven finanziellen Störungen.
Der Einsatz kommerzieller Proxys für die Aufklärung zeigt, dass diese Angreifer mit einer Raffinesse operieren, die normalerweise Nationalstaaten vorbehalten ist. Sie automatisieren die Suche und machen die Identifizierung anfälliger Endpunkte zu einem schnellen, mechanischen Prozess. Solange Hunderttausende von Firewalls für das öffentliche Internet zugänglich sind, bleibt das Zeitfenster für diese Angreifer weit offen.
Dies ist eine Erinnerung daran, dass Sicherheit kein „Einrichten und Vergessen“-Projekt ist. Patch-Management-Zyklen müssen rigoros sein, und Sicherheitskonfigurationen müssen als lebendiger Teil Ihrer Infrastruktur behandelt werden – insbesondere bei Hardware-Migrationen. Da Angreifer immer besser darin werden, BYOVD und andere fortschrittliche Ausweichtricks einzusetzen, reicht es nicht mehr aus, sich ausschließlich auf eine Firewall am Rand zu verlassen. Sie müssen auf laterale Bewegungen innerhalb Ihrer Mauern achten und für jeden Benutzer zu jeder Zeit strenge, nicht verhandelbare Authentifizierungsrichtlinien durchsetzen.
