De FBI en de Amerikaanse geheime dienst waarschuwen organisaties dat de FortiBleed-campagne die zich richt op Fortinet-apparaten nog steeds actief is, maanden nadat duizenden blootgestelde inloggegevens voor het eerst online verschenen.
FortiBleed richt zich op internettoegankelijke Fortinet-firewalls en VPN-gateways met gecompromitteerde inloggegevens. In plaats van gebruik te maken van een nieuw ontdekte beveiligingslek, proberen aanvallers toegang te krijgen met wachtwoorden die zijn verkregen uit eerdere incidenten en via technieken zoals brute-force en credential-stuffing-aanvallen.
De campagne trok in juni brede aandacht nadat inloggegevens van tienduizenden Fortinet-apparaten werden blootgelegd. Beveiligingsonderzoekers vonden vervolgens aanwijzingen dat de bredere operatie zich op een aanzienlijk groter aantal systemen wereldwijd had gericht.
De laatste overheidswaarschuwing toont aan dat de dreiging niet eindigde bij het oorspronkelijke lek van de inloggegevens. Aanvallers blijven gestolen inloggegevens gebruiken om toegang te krijgen tot blootgestelde apparaten, waar ze ongeautoriseerde wijzigingen kunnen aanbrengen en mogelijk dieper in bedrijfsnetwerken kunnen doordringen.
In sommige gevallen hebben aanvallers hun wachtwoorden gewijzigd of legitieme accounts uitgeschakeld nadat ze toegang hadden gekregen. Dit kan ervoor zorgen dat beheerders worden buitengesloten van hun eigen Fortinet-systemen en het herstel ingewikkelder maakt dan simpelweg updates installeren of één wachtwoord resetten.
The FBI also warns dat gecompromitteerde Fortinet-apparaten worden gebruikt als toegangspunt voor ransomware-aanvallen. Toegang verkregen via FortiBleed is waargenomen doorgegeven aan ransomware-affiliates, waaronder operaties verbonden aan INC/Lynx en Payload.
Fortinet heeft benadrukt dat FortiBleed geen nieuwe kwetsbaarheid in zijn producten vormt. Het bedrijf gelooft dat de activiteit betrekking heeft op inloggegevens die verband houden met eerdere beveiligingsincidenten, gecombineerd met aanvallen op systemen die beschermd zijn door zwakke wachtwoorden of zonder multi-factor authenticatie.
Organisaties die Fortinet-apparatuur gebruiken, worden aangespoord om de internettoegang tot beheerders te beperken of volledig te verwijderen, mogelijk blootgestelde inloggegevens te resetten en multi-factor authenticatie in te schakelen. Beheerders moeten ook controleren op onbekende accounts, wachtwoordwijzigingen en andere verdachte wijzigingen.
Het simpelweg wijzigen van wachtwoorden is mogelijk niet voldoende als aanvallers al toegang hebben gekregen. Organisaties zouden hun apparaten en netwerkactiviteiten moeten controleren op tekenen van ongeautoriseerde wijzigingen of beweging naar andere systemen, vooral omdat de FBI zegt dat FortiBleed criminelen een pad blijft bieden naar meer schadelijke ransomware-aanvallen.