O FBI e o Serviço Secreto dos EUA alertam organizações de que a campanha FortiBleed, que tem como alvo dispositivos Fortinet, continua ativa, meses após milhares de credenciais expostas terem aparecido pela primeira vez online.
O FortiBleed mira firewalls Fortinet acessíveis pela internet e gateways VPN usando credenciais comprometidas. Em vez de explorar uma falha de segurança recém-descoberta, os atacantes estão tentando obter acesso com senhas obtidas em incidentes anteriores e por meio de técnicas como ataques de força bruta e enchimento de credenciais.
A campanha atraiu ampla atenção em junho, após credenciais associadas a dezenas de milhares de dispositivos Fortinet serem expostas. Pesquisadores de segurança posteriormente encontraram sinais de que a operação mais ampla havia visado um número significativamente maior de sistemas ao redor do mundo.
O alerta mais recente do governo mostra que a ameaça não terminou com o vazamento original de credenciais. Os atacantes continuam usando dados de login roubados para acessar dispositivos expostos, onde podem fazer alterações não autorizadas e potencialmente se aprofundar nas redes da empresa.
Em alguns incidentes, atacantes mudaram senhas ou desativaram contas legítimas após obter acesso. Isso pode deixar administradores bloqueados de seus próprios sistemas Fortinet e tornar a recuperação mais complicada do que simplesmente instalar atualizações ou redefinir uma senha.
The FBI also warns que dispositivos Fortinet comprometidos estão sendo usados como ponto de entrada para ataques de ransomware. O acesso obtido via FortiBleed foi observado sendo repassado para afiliados de ransomware, incluindo operações associadas a INC/Lynx e Payload.
A Fortinet enfatizou que o FortiBleed não representa uma nova vulnerabilidade em seus produtos. A empresa acredita que a atividade envolve credenciais conectadas a incidentes de segurança anteriores combinados com ataques contra sistemas protegidos por senhas fracas ou sem autenticação multifator.
Organizações que utilizam equipamentos Fortinet estão sendo incentivadas a limitar ou remover completamente o acesso administrativo voltado para a internet, redefinir credenciais potencialmente expostas e habilitar a autenticação multifator. Os administradores também devem verificar contas desconhecidas, mudanças de senha e outras modificações suspeitas.
Simplesmente mudar senhas pode não ser suficiente se os atacantes já tiverem acesso. As organizações devem revisar seus dispositivos e atividades de rede em busca de sinais de mudanças não autorizadas ou movimentação para outros sistemas, especialmente porque o FBI afirma que a FortiBleed continua a oferecer aos criminosos um caminho para ataques de ransomware mais prejudiciais.