Útoky FortiBleed dál připravují správce o přístup k firewallům Fortinet

FBI a americká Secret Service potvrdily pokračování útoků FortiBleed na firewally Fortinet. Společnost SOCRadar ověřila 86 644 napadených zařízení ve 194 zemích.

Kampaň míří na firewally FortiGate a brány SSL VPN přístupné z internetu. Pachatelé zkoušejí hesla uniklá při starších incidentech i přihlašovací údaje získané pomocí malwaru. Hromadné zkoušení stejných údajů u více účtů se označuje jako credential stuffing. Při password sprayingu útočníci naopak zkoušejí několik běžných hesel u mnoha účtů.

Po prvním průniku útočníci vytvářejí nové účty, mění hesla nebo mažou původní účty. Správci tak mohou ztratit přístup k vlastnímu zařízení, zatímco pachatelé si svůj přístup ponechají a snaží se proniknout dál do firemní sítě. Ze zařízení také získávají otisky hesel a pokoušejí se je rozluštit mimo napadenou síť pomocí výkonných grafických procesorů.

Přístupy získané při kampani FortiBleed podle úřadů využívají také ransomwarové skupiny. Kupují je od zprostředkovatelů, kteří prodávají vstup do napadených sítí. Dosavadní stopy vedou ke skupinám INC/Lynx a Payload. SOCRadar už v červenci evidoval nejméně 12 potvrzených ransomwarových útoků spojených s FortiBleed.

FBI a Secret Service doporučují omezit správu zařízení dostupnou přímo z internetu, ukončit aktivní správcovské relace i relace VPN a změnit hesla. Organizace mají také zapnout vícefaktorové ověření odolné proti phishingu. Napadené organizace mohou incident nahlásit, upozornění však uvádí, že hlášení není povinné. Úřady zároveň nedoporučují platit výkupné.

Samotná změna hesel u zařízení Fortinet nestačí, protože útočníci mohou přidat vlastní účty a ponechat otevřené relace. Reakce na incident proto zahrnuje také kontrolu správcovských účtů, vzdáleného přístupu a aktivních připojení.