SonicWall remove rootkit em appliances SMA

A SonicWall publicou uma atualização para os appliances SMA 100-Gateway com o objetivo de remover um rootkit em dispositivos comprometidos. A medida ocorre após alertas da Mandiant e do Google Threat Intelligence Group em julho sobre uma campanha de ataques que implantou um backdoor persistente em modo de usuário nesses equipamentos.

Leia também
Como o Google usa I.A. para migrar seu próprio código
Conhecimento sobre privacidade e segurança recua no Brasil

Segundo os pesquisadores, o malware foi utilizado para roubar credenciais, tokens de sessão e valores Seed de OTP, permitindo que os atacantes gerassem senhas de uso único para acesso não autorizado. O objetivo principal era a extração de dados corporativos e, em alguns casos, a preparação para extorsão e possível distribuição de ransomware.

O SonicWall SMA 100 é usado para que funcionários acessem redes internas e ambientes em nuvem a partir de diferentes dispositivos. Para mitigar o risco, a nova atualização adiciona verificações de arquivos que permitem identificar e remover rootkits ativos.

A empresa também esteve recentemente envolvida em outro incidente, quando invasores realizaram ataques de força bruta ao serviço de backup em nuvem MySonicWall.com, obtendo arquivos de firewall de clientes. De acordo com a SonicWall, menos de 5% da base de clientes foi afetada por essa campanha.

Na noite passada, a CISA publicou um alerta direcionado aos clientes impactados, recomendando seguir imediatamente as instruções da SonicWall para reduzir os riscos associados.