Cisco Talos, ein zu Cisco gehörendes Cybersecurity-Unternehmen,  beobachtet seit Mitte März 2024 einen weltweiten Anstieg von Brute-Force-Angriffen gegen eine Vielzahl von Zielen, darunter VPN-Dienste, Authentifizierungsschnittstellen für Webanwendungen und SSH-Dienste.

Diese Angriffe scheinen nach Erkenntnissen der Experten von Tor-Ausgangsknoten und einer Reihe anderer Anonymisierungstunnel und Proxys auszugehen.  Je nach Zielumgebung könnten erfolgreiche Angriffe dieser Art zu unbefugtem Netzwerkzugang, Kontosperrungen oder Denial-of-Service-Bedingungen führen, teilt Cisco Talos mit. Der mit diesen Angriffen verbundene Datenverkehr habe im Laufe der Zeit zugenommen und werde wahrscheinlich auch weiterhin zunehmen. Als bekanntermaßen betroffenen Dienste nennen die Experten Cisco Secure Firewall VPN, Checkpoint VPN, Fortinet VPN, Sonicwall VPN, RD Web Services, Miktrotik, Draytek und Ubiquiti. Es könnten jedoch auch weitere Dienste von diesen Angriffen betroffen sein.

Bei den Brute-Forcing-Versuchen würden sowohl generische Benutzernamen als auch gültige Benutzernamen für bestimmte Organisationen verwendet. Das Ziel dieser Angriffe scheine wahllos und nicht auf eine bestimmte Region oder Branche gerichtet zu sein, teilt Talos mit. Die Quell-IP-Adressen für diesen Datenverkehr stünden in der Regel mit Proxy-Diensten in Verbindung, zu denen unter anderem folgende gehören:  Tor, VPN Gate und Proxy-Dienste wie Ipidea Proxy, Bigmama Proxy, Space Proxies, Nexus Proxy und Proxy Rack.

Cisco Talos habe die bei diesen Angriffen verwendeten Benutzernamen und Kennwörter in die IOCs (Indicator of compromise) aufgenommen. Auch die IP-Adressen und Anmeldedaten, die mit diesen Angriffen in Verbindung stünden, finden man in dem GitHub-Repository der Sicherheitsexperten. Administratoren könnten diese in ihre Blocklisten aufnehmen. Die IP-Adressen würden sich aber auch ändern, warnen die Experten.