FBI varnar: FortiBleed-attacker låser ute administratörer från FortiGate-enheter

FBI har varnat för att FortiBleed-attacker fortsätter att rikta sig mot internetexponerade Fortinet FortiGate-brandväggar och SSL VPN-gatewayer. I vissa incidenter tar angripare kontroll över administratörskonton och hindrar legitima användare från att hantera sina enheter.

Kampanjen bygger på stulna eller komprometterade inloggningsuppgifter för att få åtkomst. Samtidigt uppger FBI att attackkedjan har gett ransomwareaktörer, däribland INC/Lynx och Payload, en första ingång till nätverk.

Stulna inloggningsuppgifter ger tillgång till nätverk

Angriparna får tag på fungerande inloggningsuppgifter genom tidigare dataläckor, uppgifter från informationsstjälande skadlig kod, credential stuffing och password spraying.

Efter att ha fått åtkomst till en enhet hämtar de ytterligare autentiseringsuppgifter. Därefter använder de ett distribuerat GPU-kluster som kör Hashcat och Hashtopolis för att knäcka stulna lösenordshashar offline.

Därmed kan intrånget avslöja fler inloggningsuppgifter än de som användes vid den första inloggningen.

I vissa fall skapar angriparna nya administratörskonton innan de raderar befintliga konton eller ändrar deras lösenord. Detta låser ute legitima administratörer samtidigt som inkräktarna får kontroll.

Angriparna etablerar därefter en bestående åtkomst och försöker ta sig vidare till andra delar av nätverket.

FortiBleed-exponeringen avslöjade en omfattande insamling av inloggningsuppgifter

FortiBleed uppmärksammades i juni efter att angriparna av misstag exponerat en server som innehöll användarnamn och lösenord i klartext. Datamängden omfattade 73 932 brandväggs-URL:er i 194 länder.

Upptäckten avslöjade en omfattande verksamhet för insamling av inloggningsuppgifter. Forskarna kunde dock till en början inte avgöra hur angriparna hade kommit över konfigurationsuppgifterna.

I juli kopplade SOCRadar kampanjen till ransomwaregrupperna INC och Lynx efter att ha fått åtkomst till förhandlingspaneler för båda verksamheterna på en server som användes i kampanjen.

Enligt SOCRadars senaste sammanställning uppgår antalet komprometterade enheter till 86 644. Den siffran representerar företagets uppdaterade bedömning och inte den ursprungliga datamängden från juni.

Exponerade verktyg visar hur angriparna valde ut offer

Den oavsiktligt exponerade backend-servern innehöll också skript, operativa verktyg och information om måltavlor.

Forskarna hittade automatiserade skanningsverktyg för exponerade FortiGate SSL VPN-portaler, tillsammans med den distribuerade infrastrukturen för lösenordsknäckning. Andra skript kontrollerade inloggningsuppgifter, filtrerade bort honeypots och identifierade organisationer.

Dessutom hjälpte verktygen angriparna att prioritera måltavlor utifrån omsättning och nätverksstruktur.

Fungerande VPN-konfigurationer och mållistor tydde på att operatören förberedde försäljning av komprometterad åtkomst. Därmed kunde FortiBleed-attacker ge tillgång till nätverk för andra kriminella, utöver de ursprungliga inkräktarna.

FBI:s varning kopplar denna kedja för tillhandahållande av åtkomst till ransomwareaktivitet.

Återställning kan kräva mer än lösenordsbyten

FBI varnade för att installation av säkerhetsuppdateringar och återställning av Fortinet-lösenord kanske inte räcker för att helt åtgärda ett intrång.

Myndighetens rekommendationer omfattar att begränsa extern åtkomst, avsluta alla aktiva VPN-sessioner och införa multifaktorautentisering. Administratörer bör också granska loggar efter obehöriga kontoändringar och annan misstänkt aktivitet.

Dessa kontroller kan hjälpa till att identifiera åtkomst eller konfigurationsändringar som finns kvar efter en första lösenordsåterställning.

FBI rekommenderade dessutom att använda PBKDF2 för lagring av administratörslösenord i stället för äldre SHA-256-hashar. PBKDF2 ger ett starkare skydd mot de metoder för lösenordsknäckning offline som beskrivs i kampanjen.

Organisationer som utreder misstänkta intrång bör därför undersöka både åtkomsten till enheterna och tecken på att angripare har tagit sig vidare till andra delar av nätverken.