黑客通过结合VPN漏洞与最近的Windows CVE-2020-1472安全漏洞，入侵了美国选举支持系统，并获得了访问权限。

美国网络安全与基础设施安全局（CISA）表示，APT攻击者使用此漏洞链接策略，攻击联邦和SLTT（州，地方，部落和领土）政府网络以及选举组织，基础设施。

选举支持系统遭到破坏

CISA和FBI联合发表的安全公告表示：“存储在政府网络中的选举信息可能会存在一些风险”这次威胁活动会导致未经授权使用选举支持系统的某些情况。

不过，目前没有证据表明高级持续威胁（APT）攻击者能够使用其访问权来破坏“选举数据的完整性”。

为了获得对这些系统的访问权限，攻击者利用了Fortinet FortiOS安全套接字层（SSL）VPN中的CVE-2018-13379漏洞或MobileIron统一端点管理（UEM）中的CVE-2020-15505漏洞，使移动设备获得初始访问权限。

然后，再利用Windows Netlogon身份验证协议中的严重安全漏洞CVE-2020-1472（又名Zerologon）。攻击者可以在成功利用此漏洞后将特权提升给域管理员，从而​​控制整个域并更改用户的密码。上周，微软还警告伊朗支持的黑客组织MERCURY在其攻击中积极利用Zerologon。

CISA表示： 经过观察，攻击者使用合法的远程访问工具（例如VPN和远程桌面协议（RDP））来使用受损的凭据访问环境。

未来可能被利用的VPN漏洞

APT黑客已利用CVE-2018-13379 FortiOS SSL VPN Web门户漏洞获取网络访问权限，CISA警告说，他们还可以在攻击中使用任何其他漏洞来针对未修补和面向Internet的网络边缘设备。

所以，CISA建议可能受到这些攻击的组织立即修补其暴露于Internet的网络基础结构中的所有已知漏洞。

美国网络安全机构强调了以下漏洞，因为APT攻击者很可能会在未来针对政府和关键基础设施网络的攻击中使用这些漏洞以获得初步访问权限：

• Citrix NetScaler (CVE-2019-19781)
• MobileIron (CVE-2020-15505)
• Pulse Secure (CVE-2019-11510)
• Palo Alto Networks (CVE-2020-2021)
• F5 BIG-IP (CVE-2020-5902)

在以前的攻击中， CVE-2019-11510 Pulse VPN漏洞，CVE-2019-19781 Citrix NetScaler漏洞和CVE-2020-5902的严重F5 BIG-IP漏洞已被利用过。

美国大选将正式开始，近几个月，不断有媒体报道各种针对选举活动的网络威胁。9月，微软还警告说，多个国家的的APT攻击者将针对2020年美国大选。本月，CISA警告了越来越多的针对Emotet的攻击，这些攻击已针对多个美国州和地方政府。

参考来源：

https://www.bleepingcomputer.com/news/security/hackers-used-vpn-flaws-to-access-us-govt-elections-support-systems/