FBI предупреждава за атаката FortiBleed, експлоатираща защитни стени и VPN устройства на Fortinet

FBI и Тайните служби на САЩ издадоха съвместно предупреждение за киберсигурност, че текущата кампания FortiBleed е насочена към достъпни през интернет Fortinet FortiGate защитни стени и SSL VPN шлюзове по целия свят.

Операцията за компрометиране на идентификационни данни за достъп засегна над 86 644 устройства в 194 държави, създавайки сериозен риск за организации, които излагат услугите за управление или отдалечен достъп на Fortinet към интернет.

FortiBleed не се описва като единична наскоро разкрита уязвимост във Fortinet. Вместо това се съобщава, че атакуващите злоупотребяват с повторно използвани, изтекли или слаби пароли за достъп до устройства FortiGate.

Кампанията също така експлоатира остаряло съхранение на пароли със SHA-256, позволявайки откраднатите данни за автентификация да бъдат обработвани чрез разпределена инфраструктура за разбиване на пароли.

Разследващите заявяват, че операцията е станала видима, след като нейните оператори случайно са изложили сървър, съдържащ инструменти, данни за целеви системи и работни процеси.

Експлоатации при кампанията FortiBleed

Разкритата инфраструктура показва организирана операция на посредници за продажба на достъп (access brokers), която е сканирала за публично достъпни FortiGate SSL VPN портали, тествала е откраднати пароли, разбивала е хешове на пароли и е потвърждавала акаунти, преди да продаде работещ достъп на други киберпрестъпници.

Атакуващите са използвали атака с компрометирани пароли (credential stuffing) и пръскане на пароли (password spraying), за да тестват идентификационни данни, получени от предишни течове на данни и дневници на злонамерен софтуер за кражба на информация (infostealers).

След получаване на достъп, те могат да създадат нови администраторски акаунти във FortiGate, за да запазят достъпа си. След това могат да изброят потребителите в Active Directory, да идентифицират привилегировани акаунти и да опитат странично придвижване (lateral movement) в мрежите на жертвите.

Основно притеснение е, че някои засегнати организации могат да загубят достъп до собствените си устройства Fortinet. В предупреждението се посочва, че авторите на заплахата са променили пароли, деактивирали са акаунти или са изтрили легитимни администраторски акаунти, след като са създали свои собствени персистентни акаунти.

Техники по MITRE ATT&CK за FortiBleed :

Тази тактика може да забави реагирането на инциденти и да остави защитниците блокирани, докато атакуващите продължават да действат в средата. FBI и USSS също така предупредиха, че активността на FortiBleed е свързана с посредници за начален достъп, поддържащи операции с откупен софтуер (ransomware).

Докладваните последващи връзки с откупен софтуер включват INC/Lynx и Payload ransomware, което означава, че компрометирана защитна стена или VPN шлюз може да се превърне в първия етап от по-голямо проникване в цялата корпоративна мрежа.

Организациите трябва незабавно да прегледат всички административни и VPN акаунти във Fortinet, особено непознати акаунти като forticloud-sync, fgtsecure, forti_support2 или Technical_support.

Екипите по сигурност трябва също така да разследват неочаквани REST API ключове, промени в конфигурацията, съмнителна активност по автентификация и връзки, включващи известна злонамерена инфраструктура, идентифицирана в предупреждението.

Агенциите препоръчват ограничаване на външния административен достъп чрез доверени хостове или local-in политики, както и премахване на базираното в интернет администриране, където е възможно.

Администраторите трябва да прекратят активните административни и VPN сесии, да нулират всички данни за достъп на Fortinet VPN и администратори и да наложат устойчива на фишинг многофакторна автентификация за интерфейсите за отдалечен достъп и управление.

Организациите, използващи FortiOS, трябва също да потвърдят, че администраторските данни за достъп използват PBKDF2 вместо по-стари и по-слаби методи за хеширане. Прегледайте дневниците на защитната стена, VPN, автентификацията и контролера на домейни, за да идентифицирате неоторизирани акаунти, успешни съмнителни влизания, странично придвижване и опити за промяна на конфигурациите на устройствата.

Забележка: IP адресите и домейните са нарочно деактивирани (напр. [.]), за да се предотврати случайно разрешаване на имена или създаване на хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашата SIEM система.