Zakrojona na szeroką skalę operacja cyberszpiegowska i wykradania poświadczeń jest aktywnie wymierzona w zapory sieciowe i bramy VPN Fortinet. Według doniesień przejęto już ponad 30 000 urządzeń dostępnych z Internetu w niemal 200 krajach.
Badacze z SOCRadar odkryli tę kampanię po znalezieniu publicznie dostępnego serwera operacyjnego używanego przez atakujących. Serwer ten dał badaczom wgląd w narzędzia grupy, bazę ofiar, infrastrukturę automatyzacji oraz repozytorium zweryfikowanych poświadczeń.
Ustalenia pokazują, jak niebezpieczne może się stać ponowne wykorzystywanie poświadczeń, słaba higiena haseł, wystawione na zewnątrz interfejsy zarządzania i niewystarczający monitoring, gdy połączy się je z automatyzacją.
Nie była to kampania oparta na losowym zgadywaniu. Według SOCRadar baza danych atakujących zawierała zweryfikowane, działające nazwy użytkowników i hasła do dziesiątek tysięcy urządzeń Fortinet należących do firm i organizacji rządowych na całym świecie.
Co odkryto?
SOCRadar poinformował, że baza danych kontrolowana przez atakujących zawierała dane logowania do ponad 30 791 urządzeń Fortinet.
Przejęte urządzenia były powiązane z:
- 21 108 unikalnymi adresami IP
- 8316 unikalnymi domenami
- organizacjami w 194 krajach
- firmami i podmiotami rządowymi
- wieloma sektorami krytycznymi
Do dotkniętych sektorów należą:
- telekomunikacja
- administracja rządowa
- opieka zdrowotna
- edukacja
- usługi finansowe
- infrastruktura krytyczna
Organizacje telekomunikacyjne odpowiadały za ponad 5600 przejętych urządzeń, a organizacje rządowe stanowiły setki dotkniętych systemów w ponad 100 domenach.
Przedsiębiorstwa o rocznych przychodach przekraczających 1 mld USD miały według doniesień stanowić ponad 20% dotkniętych urządzeń.
Skala kampanii czyni z niej poważny globalny problem bezpieczeństwa brzegu sieci.
Przejęcie poświadczeń, a nie wykorzystanie luki w Fortinet
SOCRadar podkreślił, że nie znalazł dowodów na to, by kampania opierała się na wykorzystaniu luki w oprogramowaniu Fortinet.
Badacze traktują ją natomiast jako kampanię przejmowania poświadczeń.
To rozróżnienie ma znaczenie.
Atakujący nie potrzebowali podatności typu zero-day ani nowego CVE w Fortinet. Wykorzystali:
- ponownie używane poświadczenia
- wyciekłe hasła
- konta domyślne lub wbudowane
- słabe hasła administratorów
- długo ważne poświadczenia
- wystawione na zewnątrz interfejsy zarządzania i VPN
- zautomatyzowane narzędzia do weryfikacji
To sprawia, że kampania jest szczególnie niepokojąca, ponieważ same poprawki mogą nie rozwiązać problemu.
Jeśli prawidłowe poświadczenia zostały już ujawnione, atakujący mogą logować się legalnymi ścieżkami uwierzytelniania.
Dlaczego urządzenia Fortinet są cennym celem
Zapory sieciowe i bramy VPN Fortinet są szeroko stosowane w przedsiębiorstwach, administracji rządowej i organizacjach infrastruktury krytycznej.
Urządzenia te znajdują się na brzegu sieci i często kontrolują zdalny dostęp do środowisk wewnętrznych.
Jeśli atakujący zdobędą prawidłowe poświadczenia, mogą:
- uzyskać dostęp do usług VPN
- administrować ustawieniami zapory
- monitorować ruch
- zbierać kolejne poświadczenia
- modyfikować zasady bezpieczeństwa
- utrwalić swoją obecność
- wyłączać zabezpieczenia
- przemieszczać się głębiej w sieci
- wspierać operacje szpiegowskie lub ransomware
Przejęta zapora lub brama VPN to nie kolejny zainfekowany punkt końcowy. Może stać się strategicznym przyczółkiem na brzegu sieci organizacji.
Jak działa łańcuch ataku
Operacja wydaje się opierać na samonapędzającym się, zautomatyzowanym potoku.
Atakujący skanują Internet w poszukiwaniu wystawionych urządzeń Fortinet, a następnie próbują się uwierzytelnić przy użyciu wcześniej wyciekłych lub ponownie używanych poświadczeń.
Stosowane metody ataku obejmują:
- ponowne wykorzystanie poświadczeń
- credential stuffing
- password spraying
- zautomatyzowaną weryfikację logowań
- ciągłe skanowanie
- wykradanie poświadczeń z przejętych urządzeń
Gdy atakujący uzyskają dostęp do urządzenia, mogą użyć go jako punktu nasłuchowego. Według SOCRadar przejęte urządzenia mogą służyć do monitorowania ruchu i zbierania kolejnych poświadczeń przechodzących przez środowisko.
Nowo zebrane poświadczenia są następnie przekazywane z powrotem do zautomatyzowanego systemu, aby przejąć jeszcze więcej urządzeń.
Tworzy to pętlę sprzężenia zwrotnego.
System znajduje urządzenia, testuje poświadczenia, potwierdza prawidłowy dostęp, wykrada kolejne poświadczenia i powiększa pulę ofiar.
Dlaczego automatyzacja pogarsza sytuację
Ataki na poświadczenia nie są niczym nowym. Kampanię czyni szczególnie niebezpieczną skala i automatyzacja.
Atakujący używali narzędzi, które działały całą dobę, testując i weryfikując poświadczenia.
Oznacza to, że mogli w sposób ciągły:
- wykrywać wystawione urządzenia
- testować duże zbiory poświadczeń
- weryfikować działające logowania
- wzbogacać dane o ofiarach
- aktualizować swoje repozytorium poświadczeń
- rozszerzać dostęp na kolejne regiony i sektory
Automatyzacja pozwala atakującym wykorzystywać słabą higienę haseł w skali globalnej.
Nawet niewielki odsetek udanych logowań może przełożyć się na tysiące przejętych urządzeń, gdy pula celów jest wystarczająco duża.
Oznaki słabej higieny bezpieczeństwa
Analiza SOCRadar wykazała kilka powszechnych słabości wśród przejętych urządzeń.
Należały do nich:
- ogólne konta administratorów
- domyślne konta systemowe Fortinet
- pozostawione włączone konta wbudowane
- hasła ponownie używane w różnych systemach
- poświadczenia, których nigdy nie zmieniono po wcześniejszych naruszeniach
- wystawione na zewnątrz interfejsy zarządzania
- słabe mechanizmy kontroli zdalnego dostępu
- niewystarczające pokrycie uwierzytelnianiem wieloskładnikowym (MFA)
Są to słabości, którym można zapobiec, ale nadal są powszechne.
Atakujący nie potrzebują wyrafinowanych exploitów, gdy brakuje podstawowych zabezpieczeń poświadczeń.
Dlaczego może to być szpiegostwo, a nie tylko cyberprzestępczość
SOCRadar ocenił, że operacja wydaje się spójna z działaniami rosyjskojęzycznych grup zagrożeń.
Badacze wskazali na narzędzia, wybory dotyczące infrastruktury oraz dobór ofiar, wyraźnie przesunięty w stronę organizacji z państw członkowskich NATO.
Kampania może mieć motywację finansową, ale obecność poświadczeń powiązanych z punktem końcowym VPN, który wyglądał na należący do przemysłu obronnego, budzi obawy o cyberszpiegostwo.
Ten sam dostęp może służyć wielu celom.
Podmiot motywowany finansowo może sprzedać poświadczenia grupom ransomware, operatorom oszustw lub brokerom dostępu. Podmiot powiązany z państwem może wykorzystać ten sam dostęp do zbierania informacji wywiadowczych, inwigilacji lub długoterminowego umocnienia się w wrażliwych sieciach.
To sprawia, że kampania jest niebezpieczna niezależnie od ostatecznego motywu atakującego.
Kraje i sektory zagrożone
Kampania dotknęła organizacje w Azji, Europie, obu Amerykach, Afryce i na Bliskim Wschodzie.
Indie i Stany Zjednoczone odpowiadały według doniesień za prawie jedną trzecią wszystkich zidentyfikowanych przejęć poświadczeń, ale rozkład ofiar był globalny.
Do najbardziej dotkniętych sektorów należały:
- telekomunikacja
- administracja rządowa
- opieka zdrowotna
- edukacja
- usługi finansowe
- infrastruktura krytyczna
Sektory te są szczególnie wrażliwe, ponieważ dostęp przez VPN i zaporę Fortinet może chronić systemy wspierające kluczowe operacje, dane obywateli, informacje o pacjentach, dokumentację finansową lub infrastrukturę państwową.
Co organizacje powinny zrobić natychmiast
Każda organizacja korzystająca z zapór sieciowych lub bram VPN Fortinet powinna potraktować tę kampanię jako pilną.
Zalecane natychmiastowe działania obejmują:
- zmianę wszystkich poświadczeń administracyjnych Fortinet
- zmianę wszystkich poświadczeń użytkowników VPN
- włączenie MFA dla wszystkich kont zdalnego dostępu
- włączenie MFA dla wszystkich kont administracyjnych
- przegląd wszystkich lokalnych i wbudowanych kont Fortinet
- usunięcie lub wyłączenie nieużywanych kont
- zlikwidowanie publicznej ekspozycji interfejsów zarządzania tam, gdzie to możliwe
- ograniczenie dostępu do zarządzania do zaufanych zakresów adresów IP
- aktualizację urządzeń do najnowszego oprogramowania układowego
- przegląd dzienników uwierzytelniania pod kątem podejrzanego dostępu
- przegląd dzienników VPN pod kątem nietypowych logowań
- sprawdzenie logowań z nieoczekiwanych krajów lub zakresów adresów IP
- zbadanie serii nieudanych logowań lub wzorców password spraying
- sprawdzenie zmian w konfiguracji
- przegląd zasad zapory pod kątem nieautoryzowanych modyfikacji
Jeśli wykryjesz podejrzany dostęp, traktuj urządzenie brzegowe jako przejęte i rozpocznij reagowanie na incydent.
Wskazówki dotyczące reagowania na incydenty
Jeśli organizacja uważa, że jej urządzenie Fortinet może znajdować się w zbiorze danych atakujących, same zmiany haseł mogą nie wystarczyć.
Organizacja powinna zbadać, czy atakujący korzystali z dostępu przed zmianą poświadczeń.
Zalecane kroki reagowania obejmują:
- zabezpieczenie dzienników, zanim zostaną nadpisane
- przegląd wszystkich sesji administracyjnych
- identyfikację udanych logowań VPN z nietypowych źródeł
- sprawdzenie kopii zapasowych konfiguracji
- porównanie bieżącej konfiguracji zapory ze znanym, poprawnym wzorcem
- sprawdzenie, czy nie pojawiły się nowe konta administratorów
- przegląd zmian zasad
- sprawdzenie konfiguracji routingu i VPN
- wyszukanie zmian związanych z monitorowaniem lub przekierowywaniem ruchu
- sprawdzenie śladów ruchu bocznego
- zbadanie systemów wewnętrznych, do których uzyskano dostęp przez VPN
- zmianę poświadczeń kont, które uwierzytelniały się przez to urządzenie
- przegląd dzienników dostawcy tożsamości
- monitorowanie działań następczych
Ponieważ przejęte urządzenia brzegowe mogą ujawniać kolejne poświadczenia, należy również przejrzeć systemy znajdujące się dalej w łańcuchu.
Dlaczego MFA jest niezbędne
Uwierzytelnianie wieloskładnikowe jest jedną z najważniejszych form obrony przed ponownym wykorzystaniem poświadczeń.
Jeśli atakujący znają prawidłową nazwę użytkownika i hasło, MFA może zapobiec nieautoryzowanemu dostępowi lub przynajmniej go spowolnić.
W środowiskach Fortinet MFA powinno być wymuszone dla:
- użytkowników VPN
- administratorów
- kont uprzywilejowanych
- grup zdalnego dostępu
- kont awaryjnych, jeśli to możliwe
Organizacje powinny też sprawdzić, czy istnieją sposoby obejścia MFA, takie jak starsze ścieżki dostępu, konta lokalne, konta typu break-glass lub niezarządzane profile VPN.
MFA musi obejmować ścieżki, z których faktycznie korzystają atakujący.
Ogranicz ekspozycję interfejsów zarządzania
Interfejsy zarządzania zaporą i VPN nie powinny być szeroko wystawione do Internetu.
Tam, gdzie to możliwe, organizacje powinny:
- wyłączyć publiczny dostęp do zarządzania
- ograniczyć zarządzanie do sieci wewnętrznych
- wymagać dostępu przez bezpieczny serwer pośredniczący (jump host)
- zezwalać wyłącznie zaufanym adresom IP administratorów
- blokować dostęp do zarządzania z nieznanych krajów
- oddzielić dostęp użytkowników VPN od dostępu administracyjnego
- monitorować próby logowania administratorów
- używać dedykowanych kont administracyjnych
Urządzenia brzegowe już same w sobie są obarczone wysokim ryzykiem. Wystawianie ich interfejsów zarządzania niepotrzebnie zwiększa powierzchnię ataku.
Zalecenia dotyczące monitorowania
Zespoły bezpieczeństwa powinny monitorować urządzenia Fortinet pod kątem zachowań wskazujących na ataki na poświadczenia i przejęcie urządzenia.
Ważne sygnały to:
- powtarzające się nieudane logowania
- udane logowania po wielu nieudanych próbach
- logowania z nietypowych lokalizacji geograficznych
- używanie ogólnych kont administratorów
- dostęp przez VPN poza normalnymi godzinami pracy
- wielu użytkowników logujących się z tego samego adresu IP
- jedno konto logujące się z wielu krajów
- nowe konta administratorów
- zmiany konfiguracji
- wyłączone rejestrowanie zdarzeń
- próby przywrócenia starszej wersji oprogramowania układowego
- zmiany zasad umożliwiające nowy dostęp
- nietypowy ruch wychodzący z urządzenia
Dzienniki powinny być przekazywane do systemu SIEM lub scentralizowanego systemu monitorowania, aby atakujący nie mogli łatwo usunąć lokalnych śladów.
Ważniejsza lekcja: poświadczenia są brzegiem sieci
Ta kampania pokazuje, że urządzenia sieciowe można przejąć bez wykorzystania luki w oprogramowaniu.
Jeśli atakujący zdobędą prawidłowe poświadczenia, mogą wejść frontowymi drzwiami.
Oznacza to, że bezpieczeństwo brzegu sieci musi obejmować silne mechanizmy kontroli tożsamości, a nie tylko poprawki i reguły zapory.
Organizacje muszą zarządzać:
- higieną haseł
- rotacją poświadczeń
- egzekwowaniem MFA
- inwentaryzacją kont lokalnych
- dostępem uprzywilejowanym
- wystawionymi usługami zarządzania
- monitorowaniem wycieków poświadczeń
- rejestrowaniem zdarzeń uwierzytelniania
- gotowością do reagowania na incydenty
Zapora jest tak silna, jak poświadczenia, które ją chronią.
Podsumowanie
Kampania wykradania poświadczeń z urządzeń Fortinet, ujawniona przez SOCRadar, to poważne ostrzeżenie dla organizacji na całym świecie.
Według doniesień przejęto ponad 30 000 zapór sieciowych i bram VPN Fortinet w niemal 200 krajach. Kampania nie wymagała nowej luki w zabezpieczeniach Fortinet. Opierała się na wystawionych urządzeniach, ponownie używanych poświadczeniach, słabej higienie haseł i zautomatyzowanej weryfikacji na dużą skalę.
Organizacje korzystające z produktów Fortinet powinny zareagować natychmiast: zmienić poświadczenia, wymusić MFA, ograniczyć dostęp do zarządzania, przejrzeć dzienniki, zaktualizować oprogramowanie układowe i sprawdzić, czy nie ma śladów włamania.
Urządzenia brzegowe są cennym celem. Gdy atakujący przejmą kontrolę nad VPN lub zaporą, mogą już znajdować się w sieci.
W nowoczesnym bezpieczeństwie ochrona brzegu sieci oznacza ochronę poświadczeń, które nim sterują.
