Kimlik bilgilerini çalma ve ilk erişimi satma amacı taşıyan FortiBleed kampanyası, internete bağlı Fortinet cihazlarını hedef almaya devam ederken saldırganlar, parolaları değiştirip orijinal hesapları silerek bazı kurumları cihazlarından izole etmeye başladı. Hedefler arasında FortiGate güvenlik duvarları ve internete açık SSL VPN cihazları bulunuyor.
Kampanya haziran ayında başladı ve Fortinet tarafından yapılan analiz, saldırganların zayıf korunan cihazların kontrolünü ele geçirmek için ele geçirilmiş kimlik bilgileri ile kaba kuvvet tahmin tekniklerinden yararlandığını ortaya koydu. Saldırılar bir hafta içinde 190 ülkede 86.000’den fazla cihazı etkiledi ve kampanya Rus bir ilk erişim aracısına atfedildi.
Doğrulanan ihlalin kapsamı genişliyor
SOCRadar, 194 ülkede yaklaşık 86.644 cihazın ele geçirildiğini doğruladı. Şirket, bu sayının risk altındaki cihazların tahmini sayısını değil, ele geçirildiği doğrulanan cihazları temsil ettiğini belirtiyor; ayrıca aylar önce ele geçirilen cihazlar da saldırganların doğrulanmış envanterinde yer almaya devam ediyor.
SOCRadar’a göre saldırganlar erişilebilen güvenlik duvarlarını arıyor ve bunların kontrolünü ele geçirmek için çalınmış kimlik bilgilerini kullanıyor. Gözlemlenen yöntemler arasında internete açık SSL VPN ağ geçitlerinin taranması, bilgi hırsızı yazılımların günlüklerinden ve önceki sızıntılardan giriş bilgilerinin çıkarılması, dışarıdan şifrelenmiş parolaların kırılması ve bal küpü sistemlerinden kaçınmak için saldırı yüzeyinin haritalanması bulunuyor.
Uygulamada ne değişiyor?
Bu hafta yayımlanan ortak bir uyarıda ABD Federal Soruşturma Bürosu (FBI) ve ABD Gizli Servisi (USSS), saldırganların orijinal hesapların parolalarını değiştirebileceği veya bu hesapları silebileceği ve bunun da bilgi teknolojileri ekiplerinin etkilenen Fortinet cihazlarına erişmesini engelleyebileceği konusunda uyardı. Bu adım, sistem içindeki kalıcılığı korumak ve ele geçirilmiş ortamda yanal hareketin önünü açmak için kullanılabilir.
Çalışan VPN yapılandırmalarının ve hedef listelerinin diğer tehdit aktörlerine satıldığı da gözlemlendi; bu durum ilk erişimi birden fazla saldırgan arasında alınıp satılabilen bir varlığa dönüştürüyor.
Önerilen sınırlama önlemleri
- Ele geçirilmiş ana bilgisayarları belirleyin ve erişimi geri yüklemeden önce sızmanın kapsamını değerlendirin.
- Saldırganları ortamdan çıkarın ve ilave faaliyetleri önlemek için korumaları güçlendirin.
- Cihazlara yönetici erişimini kısıtlayın ve tüm VPN parolaları ile Fortinet yönetici hesabı parolalarını sıfırlayın.
- Kimlik avına dayanıklı çok faktörlü kimlik doğrulamayı uygulayın.
- Güvenlik duvarı ve VPN kullanıcılarını ve yapılandırmalarını inceleyin, API anahtarlarını doğrulayın.
- Şüpheli faaliyetleri belirlemek için günlükleri inceleyin ve kimlik bilgilerini güvenli bir şekilde saklayın.
Bu haber neden önemli?
Risk yalnızca bir güvenlik cihazına erişimin kaybedilmesiyle sınırlı değil; bir güvenlik duvarının veya VPN ağ geçidinin kontrolünün ele geçirilmesi, saldırgana ağ sınırında bir dayanak noktası sağlar ve ortam içinde hareket etmesine veya erişimi yeniden satmasına olanak tanıyabilir. Uyarı, hesapların ve parolaların değiştirilmesinin ihlal sonrasındaki kalıcılığın bir parçası olduğunu gösteriyor; bu nedenle cihaz ve daha geniş sızma kapsamı incelenmeden tek bir yönetici hesabının yeniden kullanıma açılması yeterli değildir. Uyarıya göre, yanal hareketin kapsamı da dahil olmak üzere her olayın ayrıntıları ayrı bir soruşturma gerektirmeye devam ediyor.