Le FBI met en garde contre la poursuite des attaques FortiBleed après la compromission de plus de 86 000 appareils.

Le FBI met en garde contre la persistance des attaques FortiBleed après la compromission de plus de 86 000 appareils Fortinet. Découvrez les points que les équipes de sécurité devraient examiner en plus de l’application des correctifs.

Les administrateurs Fortinet ayant mis à jour leurs pare-feu pourraient encore rencontrer un problème : des attaquants pourraient déjà s’être infiltrés. Le FBI et les services secrets américains avertissent que les opérateurs de FortiBleed continuent de tenter d’utiliser des identifiants volés et, dans certains cas, de bloquer l’accès aux appareils des administrateurs légitimes.

Dans un avis du 6 octobre, les agences ont cité les conclusions antérieures de SOCRadar concernant plus de 86 644 appareils Fortinet compromis dans 194 pays, avertissant que les attaquants continuent d’utiliser des identifiants volés précédemment.

FortiBleed est une campagne de compromission d’identifiants ciblant les pare-feu FortiGate et les passerelles VPN SSL exposés à Internet. Fortinet précise que cette activité repose sur la réutilisation d’identifiants et des attaques par force brute, et non sur une vulnérabilité nouvellement découverte.

Pour les équipes de sécurité, la question immédiate est de savoir si les attaquants ont toujours un accès fonctionnel, et non simplement si les dernières mises à jour sont installées.

Les identifiants volés donnent aux attaquants de FortiBleed un accès au réseau

D’après le FBI et les services secrets , les attaquants analysent les portails VPN FortiGate exposés et testent les identifiants issus de fuites antérieures et de journaux de voleurs d’informations. Ils récupèrent également les hachages de mots de passe et utilisent des outils basés sur le GPU pour les déchiffrer hors ligne, exploitant ainsi l’ancien système de stockage des mots de passe SHA-256.

Une fois à l’intérieur, les intrus peuvent créer des comptes d’administrateur, explorer Active Directory et tenter d’accéder à d’autres systèmes. Certains ont modifié ou supprimé des comptes légitimes, bloquant ainsi l’accès des administrateurs tandis que les attaquants conservent le leur.

Les enjeux dépassent le cadre du pare-feu. SOCRadar a indiqué à The Hacker News avoir confirmé au moins 12 déploiements de ransomware résultant d’accès via FortiBleed , avec des centaines de terminaux chiffrés. Les enquêteurs fédéraux ont également établi un lien entre les courtiers d’accès utilisant cette chaîne d’attaque et des affiliés des ransomwares INC/Lynx et Payload.

Des comptes non autorisés peuvent subsister après la mise à jour.

« L’application des correctifs ferme la porte », a déclaré Justin Moore, directeur de la recherche sur les menaces chez Arctic Wolf, à SC Media . Il expliquait qu’un attaquant ayant créé un autre compte administrateur ou volé des identifiants valides pourrait toujours trouver un moyen d’accéder au système après la mise à jour de l’appareil.

Moore a exhorté les organisations à examiner l’historique des activités VPN, d’authentification, de points de terminaison et de contrôleurs de domaine, et pas seulement les paramètres actuels du pare-feu. 

SC Media a également souligné un problème de visibilité : les équipements des succursales et les appareils gérés par des tiers peuvent être négligés lors des tâches de sécurité de routine.

Les administrateurs FortiGate doivent auditer les comptes, les sessions et les journaux.

Les organisations utilisant des pare-feu FortiGate et des VPN SSL doivent vérifier les passerelles exposées, même si elles ont déjà été corrigées. Le FBI et les services secrets recommandent :

• Identifiez les appareils exposés. Répertoriez les interfaces de gestion FortiGate et les passerelles VPN accessibles via Internet , y compris dans les succursales. Supprimez l’accès administratif public lorsque cela est possible ou limitez-le aux sources de confiance.
• Bloquez les accès non autorisés. Fermez les sessions administrateur et VPN, réinitialisez les mots de passe et mettez en place une authentification multifacteur résistante au phishing . Vérifiez les comptes administrateur et les clés API, supprimez les comptes non autorisés et les clés inconnues, et actualisez les clés API légitimes.
• Analysez l’activité antérieure. Comparez les configurations avec des versions fonctionnelles et examinez les journaux du pare-feu, du VPN, de l’authentification et du contrôleur de domaine afin de détecter tout accès suspect ou déplacement latéral. Suivez les recommandations de Fortinet spécifiques à votre version pour vous assurer que les mots de passe administrateur utilisent PBKDF2 et supprimez les anciens hachages SHA-256. Une simple mise à jour du firmware ne suffit pas.

Si les enquêteurs détectent des signes de compromission, l’avis recommande d’isoler les systèmes affectés, de préserver les preuves et de planifier la neutralisation des attaquants. Les adresses IP et les noms d’utilisateur mentionnés constituent des pistes d’investigation, et non une preuve de compromission en soi.

Les équipes de sécurité doivent également surveiller les comptes suspects ou les sessions VPN qui se réactivent après la réinitialisation des identifiants. Des accès liés à FortiBleed ont déjà été constatés chez les opérateurs de ransomware ; par conséquent, la mise à jour du pare-feu ne constitue qu’une partie du travail. Les organisations doivent déterminer si des intrusions ont eu lieu, à quelles ressources elles ont accédé et s’il existe encore une faille de sécurité permettant d’accéder au réseau.

https://www.esecurityplanet.com/news/news-fbi-fortibleed-attacks-fortinet