Kerentanan VPN SonicWall dan Kampanye Peretasan Berbasis AI Menimbulkan Risiko Baru bagi Infrastruktur Perusahaan

Kerentanan VPN SonicWall dan Kampanye Peretasan Berbasis AI Menimbulkan Risiko Baru bagi Infrastruktur Perusahaan

Para peneliti keamanan saat ini sedang memainkan permainan kucing-kucingan berisiko tinggi dengan firewall SonicWall Gen 7. Gelombang serangan siber terkoordinasi telah menghantam perangkat ini dengan keras, dan meskipun rumor awalnya menyebutkan adanya eksploitasi zero-day baru, kenyataannya sedikit lebih mendasar—dan mungkin lebih membuat frustrasi. Ini bukan kasus celah yang tersembunyi atau belum ditemukan; ini adalah kegagalan klasik dalam kebersihan keamanan (hygiene). Kekacauan ini terkait langsung dengan CVE-2024-40766, masalah kontrol akses dalam manajemen SonicOS dan layanan SSL VPN.

Strategi di sini sangat brutal dalam kesederhanaannya. Penyerang menjalankan pengintaian volume tinggi dan melakukan brute-force pada akun pengguna lokal. Hal yang paling mengejutkan? Mereka memanfaatkan kelalaian konfigurasi yang tertinggal selama migrasi perangkat keras. Ketika perusahaan menukar perangkat Gen 6 mereka yang lama dengan firewall Gen 7 yang baru, mereka sering kali membawa kebiasaan lama—khususnya, gagal mengatur ulang kata sandi administrator lokal atau SSL VPN. Kelalaian sederhana itu secara efektif membiarkan pintu depan terbuka bagi siapa saja yang memiliki skrip dan sedikit kesabaran.

Skala Pengintaian

Jika Anda ingin memahami besarnya ancaman ini, lihat data dari GreyNoise. Antara 22 Februari dan 25 Februari 2026, mereka melacak penyisiran internet yang masif dan terkoordinasi. Kita berbicara tentang 84.000 sesi pemindaian dari lebih dari 4.300 alamat IP unik hanya dalam empat hari. Tujuan mereka sederhana: menemukan setiap endpoint SSL VPN aktif di peta. Setelah mereka memiliki daftar target, fase credential-stuffing dimulai.

Menurut analisis GreyNoise, sekitar 92% dari penyelidikan ini mencari endpoint API tertentu yang mengonfirmasi apakah fungsi SSL VPN aktif pada perangkat. Untuk tetap berada di bawah radar dan melewati pembatasan kecepatan (rate-limiting), para pelaku ancaman ini merutekan hampir sepertiga lalu lintas mereka melalui jaringan proxy komersial. Ini adalah cara cerdas untuk menutupi asal mereka dan menyulitkan pihak pertahanan untuk memblokir rentang berbahaya tanpa secara tidak sengaja memutus lalu lintas yang sah.

Taktik Teknis dan Buku Panduan Ransomware

Eksploitasi infrastruktur SonicWall VPN telah berkembang jauh melampaui akses tidak sah yang sederhana. Begitu penyerang mendapatkan pijakan menggunakan kredensial lokal yang disusupi, mereka tidak hanya diam. Mereka melakukan tindakan yang lebih berat. Kami melihat mereka menerapkan taktik "Bring Your Own Vulnerable Driver" (BYOVD), khususnya menggunakan driver seperti rwdrv.sys dan hlpdrv.sys. Dengan memuat driver ini ke dalam sistem, mereka mendapatkan akses istimewa yang memungkinkan mereka melewati perangkat lunak keamanan endpoint standar.

Pada akhirnya, ini semua tentang uang. Kelompok Akira telah diidentifikasi sebagai pemain utama di sini, dan proses mereka sangat klinis:

• Pengumpulan Kredensial (Credential Harvesting): Mereka menggali lebih dalam untuk menemukan kunci akses lainnya, bertujuan untuk bergerak secara lateral hingga mereka menguasai seluruh jaringan.
• Sabotase Sistem: Mereka menghapus Volume Shadow Copies untuk menghilangkan peluang pemulihan yang mudah dan membersihkan log peristiwa Windows agar tim TI tetap dalam ketidakpastian.
• Eksekusi Ransomware: Setelah tahap disiapkan, mereka mengenkripsi semuanya dan meninggalkan catatan tebusan. Ini adalah siklus pemerasan yang teruji dan semakin otomatis.

Risiko Migrasi dan Langkah ke Depan

SonicWall telah menegaskan: ini bukan zero-day baru. Ini adalah masalah pengerasan (hardening) sistem. Investigasi terhadap insiden tersebut—yang saat ini berjumlah kurang dari 40—mengarah langsung ke lingkungan yang mengimpor pengaturan lama selama peningkatan perangkat keras. Jika Anda bermigrasi ke firewall SonicWall Gen 7 dan tidak membersihkan kredensial lama Anda, Anda secara efektif duduk di atas tong mesiu.

Perbaikannya sama tidak menariknya dengan masalahnya: perbarui firmware Anda dan audit konfigurasi Anda. SonicOS 7.3 menghadirkan perlindungan brute-force yang jauh lebih kuat dan memaksa penegakan MFA yang lebih baik. Jika Anda baru saja pindah ke perangkat keras Gen 7, hentikan apa yang Anda lakukan dan atur ulang setiap kata sandi akun pengguna lokal yang terkait dengan akses SSL VPN. Jangan berasumsi kata sandi lama Anda aman.

Gambaran yang Lebih Besar

Analisis GritRep tentang taktik Akira menyoroti kenyataan pahit: perangkat perimeter adalah titik kegagalan yang paling berbahaya. SSL VPN adalah jembatan antara dunia luar dan aset berharga internal Anda. Ketika kelompok seperti Akira atau Fog menargetkan ini, mereka tidak hanya mencari kemenangan cepat; mereka mencari jalan menuju gangguan finansial yang masif.

Penggunaan proxy komersial untuk pengintaian menunjukkan bahwa para penyerang ini beroperasi dengan tingkat kecanggihan yang biasanya disediakan untuk negara-bangsa. Mereka mengotomatiskan perburuan, mengubah identifikasi endpoint yang rentan menjadi proses yang cepat dan mekanis. Selama ada ratusan ribu firewall yang terpapar ke internet publik, peluang bagi para penyerang ini tetap terbuka lebar.

Ini adalah pengingat bahwa keamanan bukanlah proyek "atur lalu lupakan". Siklus manajemen patch harus ketat, dan konfigurasi keamanan harus diperlakukan sebagai bagian yang hidup dari infrastruktur Anda—terutama selama migrasi perangkat keras. Karena penyerang semakin mahir menggunakan BYOVD dan trik penghindaran canggih lainnya, mengandalkan firewall di tepi jaringan saja tidak lagi cukup. Anda perlu memantau pergerakan lateral di dalam dinding Anda dan menegakkan kebijakan autentikasi yang ketat dan tidak dapat ditawar untuk setiap pengguna, setiap saat.