El FBI afirma que continúan los ataques FortiBleed contra firewalls Fortinet FortiGate y pasarelas SSL VPN expuestos, y que dejan a administradores legítimos sin acceso a sus dispositivos.
Los atacantes usan credenciales filtradas anteriormente o accesos obtenidos de registros de infostealers, ataques de relleno de credenciales y de pulverización de contraseñas. Extraen más datos de autenticación de los dispositivos comprometidos y luego utilizan clústeres distribuidos de GPU con Hashcat y Hashtopolis para descifrar sin conexión los hashes de contraseñas robados.
El FBI ha observado que la cadena de ataque sirve como punto de entrada inicial para afiliados de ransomware. La fuente menciona INC/Lynx ransomware y Payload ransomware entre los grupos que se benefician de la actividad.
FortiBleed es una filtración de credenciales de Fortinet descubierta en junio, cuando un servidor expuso nombres de usuario y contraseñas en texto claro asociados a 73.932 URL de firewalls en 194 países. Más tarde, SOCRadar relacionó la filtración con las operaciones de ransomware de INC y Lynx. El recuento más reciente citado en el informe fue de 86.644 dispositivos comprometidos.
En algunos incidentes, el actor de amenazas crea cuentas de administrador y luego elimina cuentas administrativas existentes o cambia sus contraseñas para impedir el acceso de las víctimas. También establece persistencia e intenta desplazarse lateralmente por el entorno. La exposición accidental de un servidor backend reveló herramientas automatizadas de escaneo, descifrado de contraseñas y validación de credenciales, además de listas de objetivos y configuraciones VPN funcionales.
El FBI afirma que la corrección puede requerir más que instalar parches y cambiar las contraseñas de Fortinet. Sugiere restringir el acceso externo, terminar las sesiones VPN activas, exigir MFA, revisar los registros en busca de cambios no autorizados y actividad sospechosa, y usar PBKDF2 para almacenar las contraseñas de administrador. La agencia señala que PBKDF2 es mucho más sólido que los hashes SHA-256 antiguos que los atacantes pueden descifrar de forma práctica sin conexión.
Comentarios
0Aún no hay comentarios. Escribe el primero.