حملات گسترده‌ای تحت عنوان FortiBleed همچنان دستگاه‌های Fortinet FortiGate را هدف قرار داده‌اند. بر اساس گزارش‌های SOCRadar، تاکنون بیش از ۸۶,۶۴۴ دستگاه در ۱۹۴ کشور مختلف مورد سرایت (Infection) قرار گرفته‌اند.
جزئیات عملیات و متدهای نفوذ
FBI و سرویس مخفی ایالات متحده در هشدار مشترک خود تأکید کرده‌اند که این حملات متمرکز بر فایروال‌های FortiGate و درگاه‌های SSL VPN است که به اینترنت متصل هستند. برخلاف بسیاری از حملات پیچیده، FortiBleed بر پایه یک آسیب‌پذیری زیرو دِی (Zero-Day) در FortiOS نیست، بلکه از متدهای زیر برای دسترسی غیرمجاز استفاده می‌کند:
- Credential Stuffing: استفاده از جفت‌های نام کاربری و رمز عبور سرقت شده از نشت‌های قبلی برای ورود به حساب‌ها.
- Password Spraying: امتحان کردن چند رمز عبور رایج روی تعداد زیادی از حساب‌های کاربری.
- Offline Cracking: مهاجمان هش‌های رمز عبور سرقت شده را با استفاده از سیستم‌های مجهز به GPU و ابزارهایی مانند Hashcat و Hashtopolis به‌صورت آفلاین می‌شکنند.
یکی از عوامل تسهیل‌کننده این حملات، استفاده از متد قدیمی ذخیره‌سازی رمز عبور SHA-256 در نسخه‌های قدیمی FortiOS است که بازیابی رمزها را برای عامل تهدید (Threat Actor) بسیار آسان‌تر می‌کند.
پیامدهای نفوذ و ارتباط با باج‌افزارها
این کمپین در مراحل بعدی به عملیات باج‌افزاری تبدیل می‌شود. گزارش‌ها نشان می‌دهد که دسترسی‌های به‌دست آمده از طریق FortiBleed توسط گروه‌های باج‌افزاری مانند INC Ransom، Lynx و Payload مورد استفاده قرار گرفته است. مهاجمان پس از ورود، اقدامات زیر را انجام می‌دهند:
- ایجاد حساب‌های مدیر (Administrator) جدید یا تغییر رمز عبور مدیران فعلی برای حذف دسترسی کاربران قانونی.
- اسکن شبکه‌های داخلی و شناسایی Active Directory برای یافتن حساب‌هایی با سطح دسترسی بالاتر.
- استفاده از اسکریپت‌های خودکار برای رتبه‌بندی سازمان‌ها بر اساس درآمد و ساختار شبکه.
شاخص‌های شناسایی و توصیه‌های امنیتی
مدیران شبکه باید وجود حساب‌های مدیریتی مشکوک با نام‌هایی نظیر adminin، forticloud-tech، gttadmin، Technical_support، my_admin، forti_support2 و fgtsecure را بررسی کنند. همچنین بررسی کلیدهای REST API ضروری است، زیرا یک کلید API غیرمجاز می‌تواند حتی پس از تغییر رمز عبور، دسترسی مهاجم را حفظ کند.
اقدامات اصلاحی پیشنهادی
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- تغییر متد ذخیره‌سازی: انتقال از SHA-256 به PBKDF2 در نسخه‌های پشتیبانی شده FortiOS.
- مدیریت نشست‌ها: قطع تمامی نشست‌های (Sessions) فعال مدیران و VPN.
- محدودسازی دسترسی: مسدود کردن دسترسی مدیریتی از طریق اینترنت و استفاده از MFA مقاوم در برابر فیشینگ.
- پاکسازی: در صورت تأیید نفوذ، سیستم‌های آسیب‌دیده باید ایزوله شده و لاگ‌ها پیش از هرگونه تغییر بررسی شوند.
