Die versteckte Bedrohung: Wie unvollständiges Patchen von SonicWall-VPNs MFA umgeht und Unternehmen Ransomware aussetzt

Das digitale Perimeter eines Unternehmens wird zunehmend durch Remote-Access-Lösungen definiert. VPNs als Grundpfeiler sicheren Fernzugriffs stehen unter Dauerbeschuss. Berichte wie die BleepingComputer-Meldung zu SonicWall Gen6 SSL-VPN-Vorfällen zeigen eine kritische Lücke vieler Sicherheitsstrategien: unvollständiges Patchen, das zu Multi-Faktor-Authentifizierung (MFA)-Umgehung und direkten Wegen zur Ransomware-Bereitstellung führt.

Die Täuschung des „gepatchten“ Systems: CVE-2024-12802 im Detail

Bedrohungsakteure erzielten Brute-Force auf VPN-Zugangsdaten und umgingen MFA auf SonicWall-Gen6-Geräten. Ursache war keine grundsätzliche Schwäche von MFA, sondern eine unzureichend abgemilderte Schwachstelle CVE-2024-12802. Organisationen gingen nach Firmware-Updates von Sicherheit aus, doch die Lücke blieb, weil eine manuelle LDAP-Neukonfiguration fehlte.

„Gepatcht“ heißt nicht immer „geschützt“. Bei Gen6 war das Firmware-Update nur der erste Schritt. Die vollständige Remediation umfasste unter anderem:

• Bestehende LDAP-Konfigurationen mit userPrincipalName löschen.
• Lokal gecachte LDAP-Benutzer entfernen.
• Konfigurierte SSL-VPN-„User Domain“ entfernen.
• Firewall neu starten.
• LDAP-Konfiguration ohne userPrincipalName neu anlegen.
• Frisches Backup erstellen, um keine verwundbare Konfiguration wiederherzustellen.

Ohne diese Schritte blieb MFA für das UPN-Anmeldeformat aus, sodass Angreifer mit gültigen Zugangsdaten die Authentifizierung direkt umgehen konnten.

Angriffsvektor: vom VPN-Zugang zur Ransomware

Forscher von ReliaQuest dokumentierten Abläufe, in denen Angreifer über verwundbare SonicWall-VPNs innerhalb von Minuten initialen Zugriff erlangten. Anschließend folgten Netzwerkerkundung, Credential-Reuse und Persistenzversuche. In einem Fall erreichten sie binnen 30 Minuten einen domänengebundenen Dateiserver und versuchten Cobalt-Strike-Beacons sowie anfällige Treiber zum Abschalten von Endpoint-Schutz einzusetzen. In diesem konkreten Fall blockierten EDR-Lösungen die Post-Exploitation-Tools.

Die schnelle Eskalation von Erstzugriff zu Ransomware-Versuch unterstreicht Tempo und Härte moderner Angreifer. MFA-Umgehung verwandelt einen scheinbar sicheren Remote-Zugang in ein kritisches Einfallstor.

Geschäftsrisiken und technische Folgen

• Ransomware-Exposition: direkter Zugang ins interne Netz, Exfiltration, Verschlüsselung, Betriebsunterbrechung.
• Kompromittierte Credentials: laterale Bewegung und Persistenz.
• Reputationsschaden: Datenpannen und Ausfälle untergraben Vertrauen.
• Compliance-Strafen: unzureichend gesicherte Systeme können hohe Bußgelder nach sich ziehen.
• Ausfallzeiten: Incident Response und Recovery sind teuer und zeitaufwendig.

Gen6 als Zeitbombe: End-of-Life

SonicWall Gen6 SSL-VPN-Appliances erreichten am 16. April 2026 ihr End-of-Life (EOL). Sie erhalten keine Sicherheitsupdates mehr und werden zu Hochrisiko-Assets. EOL-Hardware für kritische Netzfunktionen – besonders VPN – einzusetzen, lädt Angreifer praktisch ein.

Bei Gen7 und Gen8 behebt ein Firmware-Update CVE-2024-12802 vollständig. Der Unterschied unterstreicht Lifecycle-Management und rechtzeitige Migration auf aktiv unterstützte Versionen.

Handlungsempfehlungen

1. Patch-Management über Firmware hinaus: vollständige Security Advisories lesen und alle Schritte umsetzen.
2. Striktes Lifecycle-Management: EOL-Hardware und -Software inventarisieren und ersetzen oder migrieren; für Gen6 SonicWall sofortige Migration.
3. VPN-Gateways härten: starke Passwörter, strenge Zugriffskontrollen, regelmäßige Account-Audits.
4. MFA durchsetzen und verifizieren: Konfigurationen regelmäßig prüfen.
5. Zero-Trust-Architektur: Mikrosegmentierung, Least Privilege, kontinuierliche Verifikation.
6. Erweitertes SOC/MDR-Monitoring: VPN-Logs auf Anomalien; öffentlich genannte Indikatoren u. a. sess="CLI", Event-IDs 238 und 1080, Logins von verdächtigen IPs/VPS.
7. Penetrationstests und Schwachstellenanalysen: unabhängige Dritte finden Konfigurations- und Patch-Lücken.

ITCS VIP sichert Ihre Remote-Access-Infrastruktur

ITCS VIP unterstützt Unternehmen bei sicherem Fernzugriff, Patch-Management und Threat Detection:

• VPN-Härtung und Konfigurationsaudits inkl. Verifikation aller Remediation-Schritte.
• Lifecycle-Management und Migrationen von EOL auf unterstützte Lösungen.
• Zero-Trust-Implementierung passend zur Organisation.
• SOC/MDR-Services mit 24/7-Erkennung, Incident Response und proaktiver IoC-Jagd – auch zu SonicWall-Vorfällen.
• Beratung zu Vulnerability Management und Patch-Remediation mit Nachweis manueller Schritte.

Lassen Sie unvollständige Patches oder EOL-Hardware Ihr Unternehmen nicht Ransomware aussetzen. Proaktive Sicherheit bedeutet Wirksamkeit zu validieren – nicht nur Updates zu installieren.

Fazit

Der SonicWall-VPN-MFA-Bypass ist ein Lehrstück für sorgfältiges Patch-Management und ganzheitliche Cybersicherheit. Kleine Versäumnisse schaffen Lücken, die sophisticated Akteure schnell nutzen. Unternehmen müssen über oberflächliches Patchen hinausgehen, Zero Trust leben und ihr digitales Perimeter kontinuierlich überwachen.

---

Sprechen Sie mit ITCS VIP, um Ihren Remote-Zugang zu stärken und Ihr Unternehmen vor fortgeschrittenen Bedrohungen zu schützen.