FBI: FortiBleed saldırıları FortiGate VPN yöneticilerini erişimden mahrum bırakıyor

FBI, FortiBleed saldırılarının internete açık Fortinet FortiGate güvenlik duvarlarını ve SSL VPN ağ geçitlerini hedef almaya devam ettiğini ve meşru yöneticileri cihazlarına erişemez hâle getirdiğini söylüyor.

Saldırganlar daha önce sızdırılmış kimlik bilgilerini veya bilgi hırsızı günlüklerinden elde edilen giriş bilgilerini, kimlik bilgisi doldurma ve parola püskürtme saldırılarını kullanıyor. Ele geçirilen cihazlardan ek kimlik doğrulama verileri çıkarıyor, ardından çalınan parola özetlerini çevrimdışı kırmak için Hashcat ve Hashtopolis çalıştıran dağıtık GPU kümelerinden yararlanıyor.

FBI, saldırı zincirinin fidye yazılımı ortakları için ilk giriş noktası olarak kullanıldığını gözlemledi. Haberde bu faaliyetten yararlanan gruplar arasında INC/Lynx ransomware ve Payload ransomware sayılıyor.

FortiBleed, haziranda keşfedilen bir Fortinet kimlik bilgisi sızıntısı. O sırada bir sunucuda 194 ülkedeki 73.932 güvenlik duvarı URL’siyle ilişkili kullanıcı adları ve düz metin parolalar açığa çıktı. SOCRadar daha sonra sızıntıyı INC ve Lynx fidye yazılımı operasyonlarıyla ilişkilendirdi. Haberde aktarılan en son sayımında 86.644 cihazın ele geçirildiği belirtiliyor.

Bazı olaylarda tehdit aktörü yönetici hesapları oluşturuyor, ardından kurbanların erişimini engellemek için mevcut yönetici hesaplarını siliyor veya parolalarını değiştiriyor. Saldırgan ayrıca sistemde kalıcılık sağlıyor ve ağ içinde yatay ilerlemeye çalışıyor. Yanlışlıkla açığa çıkan bir arka uç sunucusu; otomatik tarama, parola kırma ve kimlik bilgisi doğrulama araçlarını, hedef listelerini ve çalışan VPN yapılandırmalarını ortaya çıkardı.

FBI, çözümün Fortinet ürünlerini yamalamaktan ve parolaları değiştirmekten fazlasını gerektirebileceğini söylüyor. Kurum; dış erişimin kısıtlanmasını, etkin VPN oturumlarının sonlandırılmasını, MFA zorunluluğunu, yetkisiz değişiklikler ve şüpheli etkinlikler için günlüklerin incelenmesini ve yönetici parolalarının saklanmasında PBKDF2 kullanılmasını öneriyor. FBI, PBKDF2’nin saldırganların çevrimdışı pratik biçimde kırabildiği eski SHA-256 özetlerinden çok daha güçlü olduğunu belirtiyor.