ФБР предупреждава, че атаките FortiBleed все още продължават, като са насочени към уязвими защитни стени Fortinet FortiGate и SSL VPN шлюзове и блокират достъпа на легитимните администратори.
Киберпрестъпниците получават достъп до уязвимите крайни точки, използвайки изтекли преди това идентификационни данни или входни данни, придобити от дневници на зловреден софтуер за кражба на информация (infostealer), атаки с компрометирани пароли и пасивна пръскаща паролна атака (password spraying).
След това те извличат допълнителни данни за автентификация от компрометираните устройства и използват разпределен GPU клъстер, работещ с Hashcat и Hashtopolis, за да разбиват офлайн откраднатите хешове на пароли.
Според ФБР „веригата от атаки FortiBleed е наблюдавана като начална точка за вход за партньори на криптовируси (ransomware).“ Някои от групите, възползващи се от това, са INC/Lynx ransomware и Payload ransomware.
Изтичането, което не спира да дава резултати
FortiBleed е мащабно изтичане на идентификационни данни от Fortinet, разкрито през юни, когато атакуващите невнимателно разкриха сървър, съдържащ потребителски имена и пароли в открит текст, свързани с 73 932 URL адреса на защитни стени в 194 държави.
Данните разкриха крупна операция за събиране на идентификационни данни, въпреки че по онова време не беше ясно какъв метод е използван за получаване на конфигурационните данни.
През юли SOCRadar свърза FortiBleed с операциите за ransomware INC и Lynx, след като получи достъп до панелите за преговори на двете групи на сървър, използван в кампанията.
Според последните данни на SOCRadar, FortiBleed е компрометирал 86 644 устройства.
ФБР съобщава, че при някои incidents авторът на заплахата създава администраторски акаунти и използва техните привилегии, за да изтрие съществуващи администраторски акаунти или да промени техните пароли, лишавайки жертвите от достъп до техните устройства.
След това атакуващият си осигурява трайно присъствие (persistence) и се опитва да се придвижва странично (laterally) в мрежовата среда.
Подробности за операцията станаха известни, след като атакуващият случайно изложи своя управляващ сървър (backend), разкривайки директория с инструменти и набори от данни.
Това показа използването на автоматизирани скриптове за сканиране на достъпни FortiGate SSL VPN портали, разпределена система за разбиване на пароли с графични процесори (GPU) и скриптове за валидиране на идентификационни данни, филтриране на капани (honeypots), идентифициране на организации и приоритизиране на цели според приходи и мрежова структура.
Освен това разкриването показва работещи VPN конфигурации и списъци с цели, което показва, че операторът е подготвял компрометирания достъп за продажба.
ФБР предупреди, че отстраняването на проблема може да изисква повече от инсталиране на корекции за сигурност и нулиране на пароли за Fortinet, като препоръчва ограничаване на външния достъп, прекратяване на всички активни VPN сесии, прилагане на многофакторна автентификация (MFA) и преглед на дневниците за неоторизирани промени и съмнителна активност.
Те също така препоръчват прилагането на PBKDF2 за съхранение на администраторски пароли, което е много по-устойчиво в сравнение с остарелите хешове SHA-256, които киберпрестъпниците практически могат да разбият офлайн.