L’FBI e il Servizio Segreto degli Stati Uniti stanno avvertendo le organizzazioni che la campagna FortiBleed che prende di mira i dispositivi Fortinet è ancora attiva, mesi dopo che migliaia di credenziali esposte sono apparse per la prima volta online.
FortiBleed prende di mira firewall Fortinet e gateway VPN accessibili a internet utilizzando credenziali compromesse. Invece di sfruttare una falla di sicurezza appena scoperta, gli attaccanti cercano di ottenere l’accesso con password ottenute da incidenti precedenti e tramite tecniche come attacchi di forza bruta e credential-stuffing.
La campagna ha attirato un’ampia attenzione a giugno dopo che sono state esposte credenziali associate a decine di migliaia di dispositivi Fortinet. Successivamente, i ricercatori di sicurezza hanno individuato segnali che l’operazione più ampia aveva preso di mira un numero significativamente maggiore di sistemi nel mondo.
L’ultimo avviso governativo mostra che la minaccia non si è fermata con la fuga di credenziali originale. Gli attaccanti continuano a utilizzare i dati di accesso rubati per accedere ai dispositivi esposti, dove possono apportare modifiche non autorizzate e potenzialmente muoversi più a fondo nelle reti aziendali.
In alcuni episodi, gli attaccanti hanno cambiato password o disabilitato account legittimi dopo aver ottenuto l’accesso. Questo può lasciare gli amministratori esclusi dai propri sistemi Fortinet e rendere il recupero più complicato rispetto all’installazione di aggiornamenti o al reset di una password.
The FBI also warns che i dispositivi Fortinet compromessi vengono utilizzati come punto di ingresso per attacchi ransomware. L’accesso ottenuto tramite FortiBleed è stato osservato essere passato a affiliati ransomware, incluse operazioni associate a INC/Lynx e Payload.
Fortinet ha sottolineato che FortiBleed non rappresenta una nuova vulnerabilità nei suoi prodotti. L’azienda ritiene che l’attività riguardi credenziali collegate a precedenti incidenti di sicurezza combinati con attacchi contro sistemi protetti da password deboli o privi di autenticazione multifattore.
Le organizzazioni che utilizzano apparecchiature Fortinet sono invitate a limitare o rimuovere completamente l’accesso amministrativo rivolto a Internet, resettare le credenziali potenzialmente esposte e abilitare l’autenticazione multifattore. Gli amministratori dovrebbero anche controllare la presenza di account sconosciuti, cambi di password e altre modifiche sospette.
Semplicemente cambiare le password potrebbe non essere sufficiente se gli attaccanti hanno già ottenuto l’accesso. Le organizzazioni dovrebbero controllare i propri dispositivi e l’attività di rete per individuare segni di cambiamenti non autorizzati o movimenti in altri sistemi, soprattutto perché l’FBI afferma che FortiBleed continua a fornire ai criminali una via verso attacchi ransomware più dannosi.