Някои организации, засегнати от кампанията FortiBleed, са загубили достъп до собствените си защитни стени Fortinet, според съвместно предупреждение на ФБР и Тайните служби на САЩ.
FortiBleed е насочена към свързани с интернет защитни стени Fortinet FortiGate и SSL VPN портали. В предупреждението се цитира SOCRadar, потвърждаваща за над 86 644 компрометирани устройства в 194 държави.
„Въз основа на първоначалните данни някои жертви могат да бъдат блокирани от своите устройства Fortinet, ако злонамереният субект изтрие или промени паролата за оригиналните профили в системата“, заявяват агенциите.
„По време на първоначалното проникване атакуващите създават нови профили, които преди това не са съществували на устройството. В определени случаи киберпрестъпниците изтриват съществуващи профили, за да попречат на организациите да получат достъп до засегнатите устройства и да запазят присъствие в системата, докато се опитват да извършат странично придвижване (lateral movement) в средата“, се казва в предупреждението.
За засегнатите организации възстановяването може да изисква „стъпки за отстраняване, надхвърлящи стандартното инсталиране на корекции за сигурност и нулирането на пароли“.
„Първоначалните констатации показват, че атакуващите продължават да сканират изложени в интернет защитни стени на Fortinet, използвайки предварително придобити компрометирани идентификационни данни“, предупреждават агенциите.
Атакуващите провеждат атаки с компрометирани пароли (credential stuffing) и атаки тип password spraying, използвайки по-ранни течове на данни от Fortinet и логове от зловреден софтуер за кражба на информация (infostealers). Те извличат хешове на пароли от компрометирани устройства и ги декриптират на GPU клъстер с Hashcat и Hashtopolis.
„Разбитият достъп и идентификационни данни са допълнени, сортирани и валидирани, като скриптове филтрират примамки (honeypots), картират организации и с приоритет поставят високостойностни цели въз основа на приходите и мрежовата структура“, пишат агенциите.
След като проникнат в системата, атакуващите изброяват профилите в Active Directory и търсят потребители с привилегирован достъп. След това групата продава достъпа на партньори на групите за откупничен софтуер (ransomware) INC/Lynx и Payload.
Бюлетинът съдържа също IP адреси, използвани от атакуващите, и потребителски имена, намерени на устройствата на жертвите, както и стъпки за ограничаване на рисковете.
ФБР и Тайните служби призовават жертвите да съобщават за инциденти, въпреки че докладването в отговор на това предупреждение е доброволно, и съветват да не се плащат откупи.