Опасен тот, кто может «незаметно жить внутри организации»

ФБР и Секретная служба США призвали администраторов межсетевых экранов и шлюзов Fortinet обеспечить дополнительную защиту своих решений из-за длящейся кампании FortiBleed. Как указано в обращении, согласно подсчётам экспертов из SOCRadar, хакерами уже было скомпрометировано 86 644 устройства в 194 странах.

«Предварительное расследование указывает на то, что атакующие продолжают сканировать доступные из интернета межсетевые экраны Fortinet, используя ранее полученные скомпрометированные учётные данные, — заявили представители ведомств. — Пострадавшие организации могут потерять доступ к своим системам, если злоумышленники отключат аккаунты или изменят пароли. В таких случаях для восстановления доступа потребуется предпринять меры, выходящие за рамки стандартной установки обновлений».

Об этой кампании стало известно ещё в июне — после того как ИБ-специалист обнаружил массив информации, содержащий имена пользователей и пароли к системам Fortinet в открытом виде. Хакеры эксплуатируют автоматизированные инструменты для поиска доступных порталов FortiGate SSL VPN, а затем применяют методы перебора учётных данных (credential stuffing) и массового подбора паролей, опираясь на предыдущие утечки Fortinet и сведения из логов инфостилеров. Совершив кражу, они взламывают пароли с GPU-кластером, работающем на базе ПО Hashcat и Hashtopolis.

«Взломанные учётные данные обогащались, сортировались и проверялись: скрипты отсеивали "приманки" (honeypots), идентифицировали организации и расставляли приоритеты, выделяя наиболее ценные цели на основе показателей выручки и структуры сети. Для закрепления в системе на межсетевом экране создавались новые аккаунты администраторов, — отмечается в документе. — Далее киберпреступники проникали в инфраструктуру жертв, где проводили перечисление объектов Active Directory и массовый подбор паролей для расширения доступа».

Владелец Black Hills Information Security Джон Стрэндтак прокомментировал опасность, исходящую от FortiBleed, так: «Меня гораздо меньше беспокоит злоумышленник, который проникает в организацию, блокирует все системы и объявляет о своём присутствии. Меня ужасает тот, кто хочет как можно дольше незаметно жить внутри этой организации. Эта атака предоставляет им именно такой доступ».

Усам Оздемиров