Kluczowe Wnioski:
- Odkryto bazę ponad 86 644 działających poświadczeń do zapór Fortinet FortiGate z 194 krajów.
- Atak, nazwany FortiBleed, opiera się na automatycznym skanowaniu, wyciekach z przeszłości i podsłuchiwaniu ruchu VPN, a nie na luce zero-day.
- Na liście ofiar znajdują się rządy (ponad 111 domen), telekomy oraz największe korporacje (ponad 20% to firmy o przychodach >1 mld USD).
Światem cyberbezpieczeństwa wstrząsnęła nowa, wciąż aktywna kampania nazwana FortiBleed. Badacze z SOCRadar odkryli serwer należący do hakerów, na którym znajdowała się potężna baza ponad 86 tysięcy potwierdzonych, działających haseł i loginów do urządzeń sieciowych Fortinet FortiGate. Jeśli w swojej organizacji korzystacie z tych rozwiązań, Wasza sieć może być już w rękach przestępców.
Jak doszło do kompromitacji?
Co ciekawe, w przeciwieństwie do wielu głośnych ataków z przeszłości, FortiBleed nie wykorzystuje luki typu 0-day. Atak opiera się w głównej mierze na rażących zaniedbaniach i pełnej automatyzacji:
- Hakerzy skanują internet w poszukiwaniu urządzeń FortiGate.
- Testują bazę znanych, wcześniej ujawnionych haseł, licząc na to, że administratorzy ich nie zmienili (co okazuje się bardzo skuteczną strategią).
- Po pomyślnym logowaniu wykorzystują przejęte urządzenie do pasywnego nasłuchiwania ruchu SSL VPN, by przechwytywać kolejne hasła przesyłane w sieci, napędzając machinę ataku.
Zdecydowana większość przejętych kont to domyślne konta administratorów i systemowe, których nazw i haseł nigdy nie zmieniono od momentu instalacji.
Ogromna skala i geopolityczne tło ataku
Lista ofiar obejmuje organizacje z niemal każdej branży i z 194 krajów. Szczególnie niepokojący jest fakt, że na celowniku znalazły się podmioty z sektora telekomunikacyjnego (ponad 5 600 urządzeń) i instytucje rządowe (591 wpisów w 111 domenach). Kraje z największą liczbą przejętych urządzeń to Indie oraz Stany Zjednoczone, jednak atak dotknął również państwa takie jak Polska czy Ukraina.
Poszlaki – wybór celów, stosowane narzędzia i infrastruktura – wskazują, że za atakiem najprawdopodobniej stoją rosyjskojęzyczni cyberprzestępcy. Celowanie w państwa członkowskie NATO i obiekty rządowe sugeruje, że oprócz korzyści finansowych, operacja ma również tło geopolityczne.
Jak chronić swoją sieć?
Jeśli Twoja organizacja korzysta z urządzeń Fortinet, musisz działać natychmiast:
- Zmień wszystkie hasła: Odśwież dane logowania dla wszystkich kont administracyjnych i VPN, zwłaszcza tych, które nie były zmieniane od dłuższego czasu.
- Włącz 2FA: Uwierzytelnianie dwuskładnikowe powinno być absolutnym wymogiem dla każdego konta ze zdalnym dostępem.
- Ogranicz dostęp do panelu: Panel administracyjny zapory nigdy nie powinien być dostępny bezpośrednio z publicznego internetu.
- Aktualizuj oprogramowanie: Upewnij się, że firmware na urządzeniu posiada najnowsze poprawki bezpieczeństwa.