FortiBleed: ponad 86 tys. przejętych zapór FortiGate. FBI ostrzega, że ataki trwają

FBI i amerykańska Secret Service wydały 6 października wspólne ostrzeżenie przed kampanią FortiBleed. Napastnicy przejęli ponad 86 tysięcy zapór sieciowych i bram VPN Fortinet FortiGate w 194 krajach (86 644 urządzenia według weryfikacji firmy SOCRadar). Ataki wciąż trwają, a dostęp do przejętych urządzeń trafia do grup ransomware.

To nie nowa luka, tylko hasła

FortiBleed nie wykorzystuje nowej podatności. Fortinet podkreśla, że chodzi o powtórnie używane i wykradzione dane logowania oraz zgadywanie haseł. Według ostrzeżenia napastnicy:

1. skanują internet w poszukiwaniu portali SSL VPN urządzeń FortiGate,
2. sprawdzają na nich loginy i hasła z wcześniejszych wycieków i z dzienników złośliwego oprogramowania kradnącego hasła (tzw. infostealerów),
3. stosują zgadywanie haseł na wielu kontach naraz (password spraying),
4. pobierają skróty haseł z urządzeń i łamią je kartami graficznymi poza siecią ofiary. Szczególnie łatwe są skróty zapisane starszą metodą SHA-256, stosowaną w dawnych wersjach FortiOS zamiast odporniejszej PBKDF2,
5. sortują zdobyte dostępy według wielkości firmy ofiary, czyli według tego, ile można za nie dostać.

Kampania wyszła na jaw, gdy sami napastnicy wystawili do internetu swój serwer zaplecza, ujawniając cały proces pracy.

Co robią po wejściu

Po zalogowaniu napastnicy zakładają na zaporze własne konta administratorów, rozpoznają domenę Active Directory i utrzymują dostęp nawet po aktualizacji oprogramowania. Część ofiar straciła dostęp do własnych urządzeń, bo napastnicy usunęli konta prawowitych administratorów albo zmienili im hasła.

FBI wskazuje, że FortiBleed jest punktem wejścia dla wspólników grup ransomware INC/Lynx i Payload. SOCRadar potwierdził co najmniej 12 ataków ransomware rozpoczętych w ten sposób, z setkami zaszyfrowanych komputerów.

Co zrobić, jeśli masz FortiGate

Sama aktualizacja nie wystarczy, bo napastnik z ważnym hasłem i własnym kontem pozostanie w środku. Zalecane kroki:

1. Przejrzyj wszystkie konta na urządzeniu (administratorów i użytkowników VPN) i usuń te, których nie znasz.
2. Zmień wszystkie hasła do urządzenia i VPN oraz hasła kont domenowych używanych do logowania przez VPN.
3. Zakończ wszystkie aktywne sesje administracyjne i VPN.
4. Wyłącz zarządzanie urządzeniem z internetu albo ogranicz je do wybranych adresów.
5. Włącz uwierzytelnianie wieloskładnikowe odporne na wyłudzenie (klucze sprzętowe, FIDO2) dla VPN i administracji.
6. Sprawdź, czy hasła na urządzeniu są zapisane metodą PBKDF2, a nie starym SHA-256.
7. Przeanalizuj dzienniki z ostatnich miesięcy: logowania z nietypowych krajów, nowe konta, zmiany konfiguracji. Jeśli coś znajdziesz, potraktuj to jak włamanie do całej sieci, a nie tylko do zapory.

Komentarz SecurHUB

To już drugi w tym miesiącu poważny problem z urządzeniami Fortinet, po luce zero-day w FortiMail. FortiBleed przypomina jednak, że najsłabszym punktem często nie jest oprogramowanie, tylko hasło. Zapora i VPN to drzwi wejściowe do firmy, więc logowanie do nich bez drugiego składnika i z hasłem używanym gdzie indziej to otwarte zaproszenie. Sprawdzamy konfigurację zapór i VPN w ramach audytów i testów penetracyjnych, a nasz SOC wykrywa podejrzane logowania na bieżąco.

Źródła: The Record, eSecurity Planet, Infosecurity Magazine, Check Point Research