Error de día cero que alimenta los ataques al firewall de Fortinet

Se cree que una falla de día cero es responsable de una serie de ataques recientes a Cortafuegos Fortinet FortiGate Dispositivos cuyas interfaces de gestión están disponibles en la Internet pública. Los investigadores han descubierto que los atacantes utilizan específicamente los dispositivos para realizar inicios de sesión administrativos no autorizados y otros cambios de configuración, crear nuevas cuentas y realizar autenticación SSL VPN.

Los investigadores de Arctic Wolf han estado siguiendo la campaña desde que notaron por primera vez actividad sospechosa. Dispositivos FortiGate A principios de diciembre revelaron en un publicación de blog actual. Observaron que los actores de amenazas obtenían acceso a las interfaces de administración de los firewalls afectados (cuyas versiones de firmware oscilaban entre 7.0.14 y 7.0.16) y cambiaban sus configuraciones. Además, los atacantes en entornos comprometidos también utilizaron DCSync para extraer credenciales.

Artic Wolf lanzó un Boletín de seguridad en diciembre tras el descubrimiento de la campaña, mientras que la reciente publicación del blog reveló detalles más detallados, incluido que los atacantes probablemente estaban explotando una vulnerabilidad de día cero. Sin embargo, no han «confirmado finalmente» este vector de acceso inicial, aunque la cronología comprimida de las organizaciones afectadas así como las versiones de firmware afectadas por la campaña sugieren que los atacantes están explotando una vulnerabilidad aún por revelar, según Arctic Wolf. investigadores.

Las víctimas de la campaña no pertenecían a una industria o tamaño organizacional específico, lo que sugiere «que los ataques fueron de naturaleza oportunista y no fueron dirigidos consciente y metódicamente», agregaron.

Los investigadores no proporcionaron detalles sobre el tamaño o el alcance de la campaña.

Abuso cibernético de la Consola de administrador de Fortinet

Lo que llamó la atención de los investigadores. actividad maliciosa “A diferencia de la actividad legítima del firewall, el hecho de que [attackers] «Exploté ampliamente la interfaz jsconsole a partir de un puñado de direcciones IP inusuales», decía la publicación. Los productos de firewall FortiGate de próxima generación tienen una característica estándar y «conveniente» que permite a los administradores acceder a la interfaz de línea de comandos a través de la interfaz de administración web, explicaron los investigadores.

«Según la base de conocimientos de FortiGate, cuando se realizan cambios a través de la consola CLI basada en web, la interfaz de usuario se registra como jsconsole junto con la dirección IP de origen de quien realizó los cambios», escribieron. «Por el contrario, los cambios realizados a través de SSH aparecerán como SSH en la interfaz de usuario».

Los investigadores no tienen confirmación directa de que tales comandos se estén utilizando en la presente campaña; Sin embargo, las actividades observadas siguen un patrón similar en la forma en que invocan jsconsole, agregaron.

«Dadas las sutiles diferencias en artesanía e infraestructura entre los invasores, es posible que varios individuos o grupos estuvieran involucrados en esta campaña, pero el uso de jsconsole fue un hilo conductor en todo momento», escriben los investigadores.

Un ciberataque en cuatro fases que aún continúa

Los investigadores dividieron la campaña en cuatro fases que comenzaron a mediados de noviembre: comenzó con una fase de escaneo de vulnerabilidades, seguida de una fase de reconocimiento a fines de noviembre, una fase de configuración de VPN SSL a principios de diciembre y una conclusión de movimiento lateral a mediados de noviembre. finales de diciembre. Sin embargo, señalaron que la campaña aún está en curso y es posible que descubran más actividad en el futuro.

«Estas fases están delineadas por los tipos de cambios de configuración maliciosos observados en los dispositivos de firewall comprometidos en múltiples organizaciones víctimas y las actividades que realizaron los actores de amenazas después de obtener acceso», explicaron los investigadores.

Normalmente, el número total de inicios de sesión exitosos en jsconsole desde direcciones IP anómalas en las cuatro fases de la campaña osciló entre varios cientos y varios miles de entradas para cada organización afectada.

«La mayoría de estas sesiones fueron de corta duración, con los correspondientes eventos de cierre de sesión en un segundo o menos», escribieron los investigadores. «En algunos casos, se produjeron múltiples eventos de inicio o cierre de sesión en el mismo segundo, con hasta cuatro eventos por segundo».

No exponga las interfaces de administración a la Internet pública

Los dispositivos Fortinet son un objetivo popular para los actores de amenazas Vulnerabilidades se puede encontrar en los productos que se utilizan a menudo para penetrar en las redes. Para protegerse contra ataques, los investigadores dicen que las empresas nunca deberían exponer las interfaces de administración de dispositivos Fortinet a la Internet pública, independientemente de las especificaciones del producto. En cambio, el acceso a estas interfaces debería limitarse a usuarios internos de confianza.

«Dejar dichas interfaces abiertas en la Internet pública amplía la superficie de ataque para los actores de amenazas y abre la posibilidad de identificar vulnerabilidades que exponen funcionalidades que deberían reservarse para administradores confiables», escribieron en la publicación.

Los administradores también deben seguir las mejores prácticas comunes y actualizar periódicamente el firmware de los dispositivos para corregir errores u otros problemas de seguridad. Además, agregaron los investigadores, las empresas también deben asegurarse de que el monitoreo de syslog esté configurado para todos los dispositivos de firewall de una organización para aumentar la probabilidad de detectar actividad maliciosa de manera temprana.