BeyondTrust Remote Support: spoofing omzeilt authenticatie, misbruikt

Wat moet je doen?

1. 1

   Controleer je versie

   Ga na of je organisatie een zelf gehoste BeyondTrust Remote Support-appliance draait en welke versie dat is. Versies tot en met 26.2.3 zijn getroffen. Gebruik je de SaaS-versie, dan is de patch al geplaatst.

2. 2

   Installeer patch BT26-05-RS

   Voor versie 24.3.1 t/m 26.2.3 is er de patch BT26-05-RS. Staan automatische updates aan, controleer dan of hij is geïnstalleerd; anders plaats je hem handmatig via de beheerinterface van de appliance. Zit je op een versie ouder dan 24.3.1, werk dan eerst bij naar een nieuwere versie. Zie advies BT26-05 van BeyondTrust.

3. 3

   Zoek naar tekenen van misbruik

   Het lek is actief misbruikt, ook vóór de patch er was. Bekijk de logs en bestanden op de appliance op ongebruikelijke activiteit en onverwachte bestandswijzigingen, en raadpleeg kennisbankartikel KB0024066 van BeyondTrust.

4. 4

   Handel bij een vermoeden van inbraak

   Zie je sporen van misbruik, ga er dan van uit dat de appliance is overgenomen. Bouw hem opnieuw op volgens de aanwijzingen van BeyondTrust en vervang wachtwoorden en sleutels die via Remote Support bereikbaar waren. Schakel je beveiligingsteam in.

5. 5

   Beperk de blootstelling

   Zorg dat de beheerinterface van de appliance alleen bereikbaar is voor wie dat nodig heeft en niet open staat naar internet.