FBI advarer: FortiBleed-angrep stenger administratorer ute fra FortiGate-enheter

FBI har advart om at FortiBleed-angrep fortsatt retter seg mot internetteksponerte Fortinet FortiGate-brannmurer og SSL VPN-gatewayer. I enkelte hendelser tar angripere kontroll over administratorkontoer og hindrer legitime brukere i å administrere enhetene sine.

Kampanjen baserer seg på stjålne eller kompromitterte påloggingsopplysninger for å få tilgang. Samtidig opplyser FBI at angrepskjeden har gitt løsepengevirusaktører, inkludert INC/Lynx og Payload, et første inngangspunkt til nettverk.

Stjålne påloggingsopplysninger gir tilgang til nettverk

Angriperne skaffer seg fungerende påloggingsopplysninger fra tidligere datalekkasjer, opplysninger samlet inn av informasjonstyvende skadevare, credential stuffing og password spraying.

Etter å ha fått tilgang til en enhet henter de ut ytterligere autentiseringsdata. Deretter bruker de en distribuert GPU-klynge som kjører Hashcat og Hashtopolis, til å knekke stjålne passordhasher offline.

Dermed kan kompromitteringen avsløre flere påloggingsopplysninger enn dem som ble brukt ved den første påloggingen.

I enkelte tilfeller oppretter angriperne nye administratorkontoer før de sletter eksisterende kontoer eller endrer passordene deres. Dette stenger legitime administratorer ute samtidig som inntrengerne får kontroll.

Angriperne etablerer deretter vedvarende tilgang og forsøker å bevege seg videre til andre deler av nettverket.

FortiBleed-eksponeringen avslørte en omfattende innsamling av påloggingsopplysninger

FortiBleed ble kjent i juni etter at angriperne ved et uhell eksponerte en server som inneholdt brukernavn og passord i klartekst. Datasettet omfattet 73 932 brannmur-URL-er fordelt på 194 land.

Oppdagelsen avdekket en omfattende operasjon for innsamling av påloggingsopplysninger. Forskerne kunne imidlertid ikke i første omgang fastslå hvordan angriperne hadde fått tak i konfigurasjonsdataene.

I juli knyttet SOCRadar kampanjen til løsepengevirusgruppene INC og Lynx etter å ha fått tilgang til forhandlingspaneler for begge operasjonene på en server som ble brukt i kampanjen.

Ifølge SOCRadars siste opptelling er 86 644 enheter kompromittert. Dette tallet representerer selskapets oppdaterte vurdering, ikke det opprinnelige datasettet fra juni.

Eksponerte verktøy viser hvordan angriperne valgte ut ofre

Den utilsiktet eksponerte backend-serveren inneholdt også skript, operative verktøy og informasjon om mål.

Forskerne fant automatiserte skanneverktøy for eksponerte FortiGate SSL VPN-portaler, sammen med den distribuerte infrastrukturen for passordknekking. Andre skript kontrollerte påloggingsopplysninger, filtrerte bort honeypots og identifiserte organisasjoner.

I tillegg hjalp verktøyene angriperne med å prioritere mål basert på omsetning og nettverksstruktur.

Fungerende VPN-konfigurasjoner og mållister tydet på at operatøren forberedte kompromittert tilgang for salg. Dermed kunne FortiBleed-angrep gi tilgang til andre kriminelle i tillegg til de opprinnelige inntrengerne.

FBIs advarsel knytter denne tilgangen til løsepengevirusaktivitet.

Gjenoppretting kan kreve mer enn passordendringer

FBI advarte om at installasjon av sikkerhetsoppdateringer og tilbakestilling av Fortinet-passord kanskje ikke er tilstrekkelig til å håndtere en kompromittering fullt ut.

Anbefalingene omfatter å begrense ekstern tilgang, avslutte alle aktive VPN-økter og håndheve multifaktorautentisering. Administratorer bør også gjennomgå logger for uautoriserte kontoendringer og annen mistenkelig aktivitet.

Disse kontrollene kan bidra til å identifisere tilgangs- eller konfigurasjonsendringer som fortsatt finnes etter en første tilbakestilling av passord.

FBI anbefalte dessuten å bruke PBKDF2 til lagring av administratorpassord i stedet for eldre SHA-256-hasher. PBKDF2 gir sterkere motstand mot metodene for passordknekking offline som er beskrevet i kampanjen.

Organisasjoner som undersøker mistanke om kompromittering, bør derfor kontrollere både tilgangen til enhetene og tegn på at angripere har beveget seg videre til andre deler av nettverkene sine.