FBI advarer: FortiBleed-angreb låser administratorer ude af FortiGate-enheder

FBI har advaret om, at FortiBleed-angreb fortsat er rettet mod interneteksponerede Fortinet FortiGate-firewalls og SSL VPN-gateways. I nogle tilfælde overtager angribere kontrollen over administratorkonti og forhindrer legitime brugere i at administrere deres enheder.

Kampagnen bygger på stjålne eller kompromitterede loginoplysninger for at få adgang. Samtidig oplyser FBI, at angrebskæden har givet ransomwareaktører, herunder INC/Lynx og Payload, et indledende adgangspunkt til netværk.

Stjålne loginoplysninger giver adgang til netværk

Angriberne skaffer fungerende loginoplysninger fra tidligere datalæk, oplysninger indsamlet af informationstyvende malware, credential stuffing og password spraying.

Efter at have fået adgang til en enhed udtrækker de yderligere autentificeringsdata. Derefter bruger de en distribueret GPU-klynge, der kører Hashcat og Hashtopolis, til at knække stjålne passwordhashes offline.

Dermed kan kompromitteringen afsløre flere loginoplysninger end dem, der blev brugt ved det første login.

I nogle tilfælde opretter angriberne nye administratorkonti, før de sletter eksisterende konti eller ændrer deres adgangskoder. Dette låser legitime administratorer ude, samtidig med at de ubudne gæster får kontrollen.

Angriberne etablerer derefter vedvarende adgang og forsøger at bevæge sig videre til andre dele af netværket.

FortiBleed-eksponeringen afslørede en omfattende indsamling af loginoplysninger

FortiBleed kom frem i juni, efter at angriberne ved et uheld eksponerede en server med brugernavne og adgangskoder i klartekst. Datasættet omfattede 73.932 firewall-URL’er fordelt på 194 lande.

Opdagelsen afslørede en omfattende operation til indsamling af loginoplysninger. Forskerne kunne dog i første omgang ikke fastslå, hvordan angriberne havde fået fat i konfigurationsdataene.

I juli knyttede SOCRadar kampagnen til ransomwaregrupperne INC og Lynx efter at have fået adgang til forhandlingspaneler for begge operationer på en server, der blev brugt i kampagnen.

Ifølge SOCRadars seneste optælling er 86.644 enheder kompromitteret. Dette tal repræsenterer virksomhedens opdaterede vurdering og ikke det oprindelige datasæt fra juni.

Eksponerede værktøjer viser, hvordan angriberne udvalgte ofre

Den utilsigtet eksponerede backend-server indeholdt også scripts, operationelle værktøjer og oplysninger om mål.

Forskerne fandt automatiserede scanningsværktøjer til eksponerede FortiGate SSL VPN-portaler sammen med den distribuerede infrastruktur til passwordknækning. Andre scripts kontrollerede loginoplysninger, filtrerede honeypots fra og identificerede organisationer.

Derudover hjalp værktøjerne med at prioritere mål ud fra omsætning og netværksstruktur.

Fungerende VPN-konfigurationer og mållister tydede på, at operatøren forberedte kompromitteret adgang til salg. Dermed kunne FortiBleed-angreb give adgang til andre kriminelle ud over de oprindelige angribere.

FBI’s advarsel forbinder denne adgangskæde med ransomwareaktivitet.

Genopretning kan kræve mere end ændring af adgangskoder

FBI advarede om, at installation af sikkerhedsopdateringer og nulstilling af Fortinet-adgangskoder muligvis ikke er tilstrækkeligt til at afhjælpe en kompromittering fuldstændigt.

Anbefalingerne omfatter begrænsning af ekstern adgang, afslutning af alle aktive VPN-sessioner og håndhævelse af multifaktorgodkendelse. Administratorer bør også gennemgå logfiler for uautoriserede kontoændringer og anden mistænkelig aktivitet.

Disse kontroller kan hjælpe med at identificere adgangs- eller konfigurationsændringer, der stadig er til stede efter en indledende nulstilling af adgangskoder.

FBI anbefalede desuden at bruge PBKDF2 til lagring af administratoradgangskoder i stedet for ældre SHA-256-hashes. PBKDF2 giver stærkere modstandsdygtighed over for de metoder til offline passwordknækning, der er beskrevet i kampagnen.

Organisationer, der undersøger mistanke om kompromittering, bør derfor kontrollere både adgangen til enhederne og tegn på, at angribere har bevæget sig videre til andre dele af deres netværk.