FBI uyardı, FortiBleed adlı kampanya 86 binden fazla Fortinet cihazına girdi

FBI ve ABD Gizli Servisi, 6 Ekim’de yayımladıkları ortak uyarıda FortiBleed adı verilen kampanyanın hâlâ sürdüğünü açıkladı. Kampanya, internete açık Fortinet FortiGate güvenlik duvarlarını ve SSL VPN geçitlerini hedef alıyor. SOCRadar’ın doğruladığı verilere göre 194 ülkede 86 binden fazla cihaz etkilendi. Kampanyanın işleyişi, saldırganların kendi sunucularını yanlışlıkla herkese açık bırakmasıyla ortaya çıktı.

Saldırganlar bir yazılım açığı kullanmıyor. Önce internete açık SSL VPN portallarını tarıyor, daha önce sızdırılmış parola listeleri ve bilgi çalan zararlı yazılımların kayıtlarıyla giriş deniyorlar. Ele geçirdikleri parola özetlerini kendi sistemlerinde kırıyor, işe yarayan hesaplarla cihaza girip kendi yönetici hesaplarını açıyorlar. Bazı durumlarda kurumun kendi yönetici hesaplarını silip kurumu cihazından kilitliyorlar. Elde edilen erişim, iç ağda ilerlemek için kullanılıyor ve fidye yazılımı gruplarına satılıyor. Uyarıya göre INC/Lynx ve Payload gruplarının iş ortakları bu yolla erişim satın aldı.

Uyarı, kampanyanın izlerini temizlemek için parola değiştirmenin tek başına yetmediğini vurguluyor. Önerilenler şöyle:

• Yönetim arayüzünü internetten kaldırmak ya da yalnızca güvenilen adreslere açmak
• Bütün yönetici ve VPN oturumlarını sonlandırıp parolaları değiştirmek
• Uzaktan erişim ve yönetici hesapları için oltalamaya dayanıklı çok faktörlü doğrulama kullanmak
• Cihazdaki hesapları tek tek kontrol etmek, tanınmayan yönetici hesaplarını ve REST API anahtarlarını kaldırmak
• Yapılandırmayı bilinen temiz bir yedekle karşılaştırmak, güvenlik duvarı ve etki alanı denetleyicisi kayıtlarında ağ içi hareket aramak

Uyarıda saldırganların açtığı hesap adları da paylaşıldı. Aralarında fortiAdmin, forticloud-sync, support_fortinet ve fgtsec gibi Fortinet’e ait izlenimi veren adlar var. FortiGate kullanan kurumların bu adlarla ya da tanımadıkları başka adlarla açılmış hesap olup olmadığına bakması gerekiyor.