FBI ve ABD Gizli Servisi, Fortinet cihazlarını hedef alan FortiBleed kampanyasının, binlerce açığa çıkan kimlik bilgilerinin çevrimiçi olarak ortaya çıkmasından aylar sonra hâlâ aktif olduğunu iddia ediyor.
FortiBleed, internet erişimine açık Fortinet güvenlik duvarlarını ve VPN geçitlerini ele salınmış kimlik bilgileriyle hedef alıyor. Yeni keşfedilen bir güvenlik açığı yerine, saldırganlar önceki olaylardan elde edilen şifrelerle ve brute-force ile kimlik bilgileri doldurma saldırıları gibi tekniklerle erişim sağlamaya çalışıyor.
Kampanya, on binlerce Fortinet cihazına ilişkin kimlik bilgilerinin ortaya çıkmasıyla Haziran ayında geniş çapta dikkat çekti. Güvenlik araştırmacıları daha sonra operasyonun dünya genelinde çok daha fazla sistemi hedef aldığına dair işaretler buldu.
Hükümetin son uyarısı, tehdidin orijinal kimlik sızıntısıyla bitmediğini gösteriyor. Saldırganlar, çalınan giriş bilgilerini kullanarak izinsiz değişiklikler yapabilir ve şirket ağlarına daha derinlemesine ilerleyebiliyorlar.
Bazı olaylarda, saldırganlar erişim sağladıktan sonra şifrelerini değiştirmiş veya yasal hesapları devre dışı bırakmıştır. Bu durum, yöneticileri kendi Fortinet sistemlerinden kilitlenmiş bırakabilir ve iyileştirmeyi sadece güncellemeleri yüklemek veya bir şifreyi sıfırlamaktan daha karmaşık hale getirebilir.
The FBI also warns Fortinet cihazlarının tehlikede olduğu için ransomware saldırıları için bir giriş noktası olarak kullanılıyor. FortiBleed üzerinden elde edilen erişimlerin, INC/Lynx ve Payload ile bağlantılı operasyonlar da dahil olmak üzere fidye yazılımı bağlantılarına geçtiği gözlemlenmiştir.
Fortinet, FortiBleed’in ürünlerinde yeni bir güvenlik açığı oluşturmadığını vurguladı. Şirket, bu etkinliğin önceki güvenlik olaylarına bağlı kimlik bilgilerini ve zayıf şifrelerle korunan veya çok faktörlü kimlik doğrulaması eksikliği olan sistemlere yönelik saldırıları içerdiğini düşünüyor.
Fortinet ekipmanı kullanan kuruluşlara, internete erişimi sınırlamaları veya tamamen kaldırmaları, potansiyel olarak açığa çıkan kimlik bilgilerini sıfırlamaları ve çok faktörlü kimlik doğrulamayı etkinleştirmeleri tavsiye ediliyor. Yöneticiler ayrıca bilinmeyen hesapları, şifre değişikliklerini ve diğer şüpheli değişiklikleri kontrol etmelidir.
Saldırganlar zaten erişim sağlamışsa, sadece şifre değiştirmek yeterli olmayabilir. Kuruluşlar, özellikle FBI’ın FortiBleed’in suçlulara daha zararlı fidye yazılımı saldırılarına yol sağlamaya devam ettiğini söylediği için, cihazlarını ve ağ faaliyetlerini yetkisiz değişiklikler veya diğer sistemlere geçiş işaretleri açısından incelemelidir.