FBI uppger att FortiBleed-attackerna fortsätter mot exponerade Fortinet FortiGate-brandväggar och SSL VPN-gateways och låser ute legitima administratörer från deras enheter.
Angriparna använder tidigare läckta inloggningsuppgifter eller inloggningar från infostealer-loggar, credential stuffing och lösenordssprejning. De hämtar ytterligare autentiseringsdata från komprometterade enheter och använder sedan distribuerade GPU-kluster med Hashcat och Hashtopolis för att knäcka stulna lösenordshashar offline.
FBI har sett attackkedjan användas som en första ingång för ransomware-anslutna grupper. Källan nämner INC/Lynx ransomware och Payload ransomware bland grupperna som drar nytta av aktiviteten.
FortiBleed är en läcka av Fortinet-inloggningsuppgifter som upptäcktes i juni, då en server exponerade användarnamn och lösenord i klartext kopplade till 73 932 brandväggs-URL:er i 194 länder. SOCRadar kopplade senare läckan till INC- och Lynx-ransomwareoperationer. Den senaste siffra som rapporten hänvisar till var 86 644 komprometterade enheter.
I vissa incidenter skapar hotaktören administratörskonton och tar sedan bort befintliga adminkonton eller ändrar deras lösenord för att stänga ute offren. Angriparen etablerar också beständig åtkomst och försöker förflytta sig i sidled i nätverket. En oavsiktligt exponerad backendserver avslöjade automatiserad skanning, verktyg för lösenordsknäckning och kontroll av inloggningsuppgifter, samt mållistor och fungerande VPN-konfigurationer.
FBI säger att åtgärder kan kräva mer än att installera säkerhetsuppdateringar och byta Fortinet-lösenord. Myndigheten föreslår att begränsa extern åtkomst, avsluta aktiva VPN-sessioner, kräva MFA, granska loggar efter obehöriga ändringar och misstänkt aktivitet samt använda PBKDF2 för lagring av administratörslösenord. FBI uppger att PBKDF2 är mycket starkare än äldre SHA-256-hashar som angripare praktiskt kan knäcka offline.
Kommentarer
0Inga kommentarer ännu. Skriv den första.