FBI מזהיר: FortiBleed עדיין פעילה, ונועלת מנהלים מחוץ לחומות האש של Fortinet

ה-FBI והשירות החשאי האמריקאי (USSS) פרסמו ב-6 באוקטובר אזהרה משותפת על FortiBleed. הקמפיין פורץ לחומות אש ולשערי VPN של Fortinet בעזרת סיסמאות דלופות, והוא עדיין פעיל. בחלק מהמקרים התוקפים נועלים את מנהלי הרשת מחוץ למכשיר שלהם.

SOCRadar היא חברת מודיעין שהסוכנויות מצטטות. לפי נתוניה, התוקפים פרצו למעל 86,644 מכשירים ב-194 מדינות. אין כאן חולשה חדשה שנסגרת בעדכון גרסה. לכן הטיפול ב-FortiBleed דורש הרבה מעבר לעדכון.

איך FortiBleed עובדת: סיסמאות ישנות, כרטיסי מסך ומכירת גישה

הפרטים על הקמפיין נחשפו בזכות טעות של התוקפים עצמם. הם השאירו שרת אחורי פתוח לרשת. לכן חוקרים יכלו לראות את כל תהליך העבודה.

לפי האזהרה, התוקפים סורקים את האינטרנט ומאתרים פורטלי SSL VPN של FortiGate. אחר כך הם מנסים שמות משתמש וסיסמאות על הפורטלים האלה. הפרטים מגיעים מדליפות קודמות של Fortinet ומיומנים של נוזקות גונבות מידע (infostealers). הם משתמשים בשתי שיטות. הראשונה היא ניסוי של צמדי פרטים שכבר דלפו (credential stuffing). השנייה היא ניסוי של כמה סיסמאות נפוצות על חשבונות רבים (password spraying).

כשהם מצליחים להיכנס, הם שולפים מהמכשיר את מסד המשתמשים, כולל סיסמאות מגובבות (hash). אחר כך הם מעבירים אותן לפיצוח באשכול כרטיסי מסך שהם שוכרים. כאן מסתתרת נקודת התורפה שהסוכנויות מדגישות. זה אחסון סיסמאות ישן מבוסס SHA-256, שקל לפצח בהרבה משיטות מודרניות.

הפרטים המפוצחים ממוינים, מכשירי פיתיון (honeypots) מסוננים, והקורבנות מדורגים לפי הכנסות ומבנה הרשת. בשלב הבא התוקפים פותחים חשבונות מנהל חדשים על חומת האש. הם ממפים את ה-Active Directory של הארגון. הם גם מוכרים את הגישה הלאה כ״מתווכי גישה ראשונית״.

מנעילת מנהלים ועד לכופרה

החידוש באזהרה הוא תופעת הנעילה. לפי ה-FBI, חלק מהקורבנות גילו שהם לא מצליחים להיכנס לחומת האש שלהם. הסיבה: התוקפים מחקו את החשבונות המקוריים או שינו את הסיסמאות שלהם. כך התוקפים שומרים לעצמם שליטה במכשיר בזמן שהם מתקדמים פנימה ברשת. במצב כזה, עדכון גרסה ואיפוס סיסמה רגיל כבר לא מספיקים.

הסוכנויות מציינות שמי שקונה את הגישה הם, בין השאר, שותפים של קבוצות הכופרה INC/Lynx ו-Payload. לפי The Record, מחקר שקדם לכך של SOCRadar תיאר מעל 20 שותפים בתפקידים מוגדרים. השותפים האלה סרקו אלפי פורטלים של FortiGate במעל 150 מדינות. התוקפים פרצו לפחות ל-12 ארגונים והצפינו אותם.

האזהרה כוללת רשימת כתובות IP שנצפו בין יוני ליולי. היא כוללת גם שמות חשבונות שהתוקפים נוהגים לפתוח, כמו forticloud-sync, support_fortinet, adminsslvpn ו-IT_Manager. אלה שמות שנשמעים לגיטימיים לגמרי, וזו בדיוק הכוונה.

למה FortiBleed רלוונטית גם אם עדכנתם הכל

רוב האזהרות על ציוד רשת מסתכמות ב״התקינו את הגרסה החדשה״. כאן זה לא עובד. מכשיר מעודכן לגמרי עדיין פגיע אם מתקיים אחד מהתנאים האלה. הסיסמה של אחד המשתמשים כבר דלפה. אין עליו אימות דו-שלבי עמיד. או שממשק הניהול שלו פתוח לכל העולם.

גם מי שהחליף סיסמאות לפני כמה חודשים צריך לבדוק את המכשיר. כדאי לוודא שלא נשארו עליו חשבונות שלא הוא פתח. כדאי לוודא גם שאין מפתחות API שלא הוא יצר. מפתחות REST API משמשים לגיבויים ולניטור אוטומטי. לפי הסוכנויות, הם דלת אחורית אפשרית אם אף אחד לא עוקב אחריהם.

המקור המלא: הדיווח ב-FBI / U.S. Secret Service.

עוד ב-GEEKLIK: תוקפים חטפו שלוש סיומות מדינה והשיגו תעודות HTTPS תקפות לדומיינים של Google

מה הלאה

לפי ה-FBI, התוקפים ממשיכים לסרוק חומות אש חשופות עם פרטי גישה שכבר ברשותם. לכן הקמפיין לא נגמר. מי שמגלה סימני פריצה מתבקש לבודד את המכשיר. הוא מתבקש גם לאסוף לוגים וראיות לפני הניקוי. רק אז כדאי לבנות תוכנית מסודרת להוצאת התוקף מהרשת. ניקוי מהיר מדי עלול למחוק את העקבות שמראים לאן התוקף הגיע מעבר לחומת האש.