ФБР предупредило о FortiBleed, блокирующем доступ к VPN
ФБР сообщило о продолжающихся атаках FortiBleed на доступные из интернета межсетевые экраны Fortinet FortiGate и шлюзы SSL VPN. Злоумышленники используют украденные учётные данные, чтобы проникнуть в устройства, получить новые данные для входа и закрепиться в сетях организаций.
Для первоначального доступа атакующие используют ранее утёкшие пароли, данные из журналов инфостилеров, подбор учётных данных и атаки с перебором паролей. Получив доступ к устройству, они извлекают дополнительные данные аутентификации. Затем распределённый кластер GPU с помощью Hashcat и Hashtopolis подбирает украденные хеши паролей в автономном режиме.
В некоторых случаях злоумышленники создают учётные записи администратора, а затем удаляют существующие аккаунты или меняют их пароли. Это лишает законных администраторов доступа к устройствам. После этого атакующие закрепляются в системе и пытаются перемещаться по сети. ФБР сообщило, что цепочка FortiBleed служила начальной точкой проникновения для партнёров операторов программ-вымогателей, включая INC/Lynx и Payload.
Как устроена кампания FortiBleed
В июне обнаружили масштабную утечку учётных данных Fortinet: злоумышленники случайно оставили открытым сервер с именами пользователей и открытыми паролями для 73 932 URL-адресов межсетевых экранов в 194 странах. Утечка показала, что данные собирали в большом масштабе, но способ получения конфигураций устройств тогда оставался неизвестен. В июле компания SOCRadar связала FortiBleed с группировками-вымогателями INC и Lynx, получив доступ к их панелям переговоров на сервере, использованном в кампании. По последней оценке SOCRadar, FortiBleed затронул 86 644 устройства.
В каталогах случайно открытого атакующими сервера обнаружили инструменты и наборы данных: автоматические скрипты сканировали открытые порталы FortiGate SSL VPN, проверяли учётные данные, отсеивали ловушки и определяли организации. Цели ранжировали по выручке и структуре сети. Там же нашли рабочие конфигурации VPN и списки целей. Это указывает на подготовку скомпрометированного доступа к продаже.
ФБР предупреждает, что для устранения последствий может быть недостаточно установить обновления и сменить пароли Fortinet. Ведомство рекомендует ограничить внешний доступ, завершить все активные VPN-сеансы, включить многофакторную аутентификацию и проверить журналы на подозрительную активность и несанкционированные изменения. Для хранения паролей администратора также советуют использовать PBKDF2: этот алгоритм значительно надёжнее устаревших хешей SHA-256, которые атакующие могут подбирать офлайн.
