Impennata delle scansioni dei portali di login di Palo Alto Networks: +500%
Lo scorso venerdì i ricercatori di GreyNoise hanno evidenziato un’impennata delle scansioni dei portali di login di Palo Alto Networks: secondo le stime condivide dalla compagnia, si è verificato un incremento di circa il 500%.
Nel dettaglio, si è passati da un volume medio di scansioni da 200 IP al giorno a circa 1300; di questi, il 93% è stato classificato come sospetto e il 7% come malevolo. Il 91% degli IP erano geolocalizzati negli Stati Uniti, mentre i restanti si sono divisi tra Regno Unito, Olanda, Canada e Russia.
“Quasi tutte le scansioni miravano ai profili Palo Alto emulati da GreyNoise (Palo Alto GlobalProtect, Palo Alto PAN-OS), il che suggerisce che si trattasse di attività mirate, probabilmente derivanti da scansioni pubbliche (ad esempio Shodan, Censys) od originate da aggressori che effettuavano il fingerprinting dei dispositivi Palo Alto” ha spiegato la compagnia di sicurezza.
Il traffico rivelato era particolarmente strutturato e mirato, diviso tra diversi cluster di scansione.
Sebbene non sia una certezza, GreyNoise sottolinea che in alcuni casi l’impennata delle scansioni verso Palo Alto Networks ha coinciso conla pubblicazione di nuove vulnerabilità entro sei settimane dall’evento. Anche se non c’è una correlazione comprovata, GreyNoise sta monitorando attentamente l’evoluzione delle attività.
Contattata da The Hacker News, Palo Alto Networks ha affermato che al momento non sono stati rilevati segni di compromissione. “Palo Alto Networks è protetta dalla nostra piattaforma Cortex XSIAM che blocca ogni giorno 1,5 milioni di nuovi attacchi e riduce autonomamente 36 miliardi di eventi di sicurezza alle minacce più critiche, garantendo la sicurezza della nostra infrastruttura. Continuiamo ad avere fiducia nella nostra solida posizione in materia di sicurezza e nella nostra capacità di proteggere la nostra rete” ha specificato la compagnia.
Il consiglio GreyNoise per gli esperti di sicurezza è di bloccare immediatamente qualsiasi IP sospetto.
Altro in questa categoria
