مقامات سایبری ایالات متحده از مدیران سیستم‌های فایروال و گیت‌وی‌های Fortinet خواستند تا امنیت تجهیزات خود را افزایش دهند. این هشدار پس از آن صادر شد که مشخص شد کمپین FortiBleed همچنان فعال است و به گسترش خود ادامه می‌دهد.
در اطلاعیه‌ای که توسط FBI و سرویس مخفی آمریکا منتشر شده، با استناد به آمارهای SOCRadar، تاکنون ۸۶,۶۴۴ دستگاه در ۱۹۴ کشور مورد سرایت این حملات قرار گرفته‌اند.
هدف حملات و عوامل تهدید
این کمپین به‌طور خاص فایروال‌های Fortinet FortiGate و گیت‌وی‌های VPN از نوع SSL (Secure Socket Layer) را هدف قرار می‌دهد. بر اساس گزارش‌ها، گروه‌های وابسته به باج‌افزارهای (Ransomware) معروف مانند INC، Lynx و Payload از اعتبارنامه‌های (Credentials) سرقت شده در حملات FortiBleed برای دسترسی اولیه به شبکه‌ها استفاده می‌کنند.
در این اطلاعیه آمده است: «یافته‌های اولیه نشان می‌دهد که عوامل تهدید همچنان در حال اسکن فایروال‌های Fortinet هستند که در معرض اینترنت قرار دارند و برای این کار از اعتبارنامه‌های به دست آمده قبلی استفاده می‌کنند. سازمان‌های آسیب‌دیده ممکن است با مسدود شدن دسترسی به سیستم‌های خود مواجه شوند، زیرا مهاجمان احتمالاً حساب‌های کاربری را غیرفعال کرده یا رمزهای عبور را تغییر می‌دهند؛ موضوعی که رفع آن نیازمند اقداماتی فراتر از پچ‌های استاندارد و بازنشانی رمز عبور است.»
جزئیات فنی متدولوژی حمله
این کمپین اولین بار در ماه ژوئن شناسایی شد، زمانی که یک پژوهشگر امنیتی مجموعه‌ای از نام‌های کاربری و رمزهای عبور متنی (Plaintext) مربوط به Fortinet را کشف کرد. روند حمله به شرح زیر است:
- اسکن و شناسایی: هکرها با استفاده از ابزارهای خودکار، پورتال‌های SSL VPN در FortiGate را که در معرض اینترنت هستند، شناسایی می‌کنند.
- تزریق اعتبارنامه: با بهره‌گیری از تکنیک‌های Credential Stuffing و Password Spraying و استفاده از دیتابیس‌های نشت یافته و لاگ‌های Infostealer، تلاش می‌کنند وارد سیستم شوند.
- رمزگشایی پیشرفته: پس از استخراج اعتبارنامه‌های بیشتر، مهاجمان از «خوشه‌های رمزگشایی شتاب‌یافته با GPU» (GPU-accelerated cracking cluster) و ابزارهایی نظیر Hashcat و Hashtopolis برای تبدیل رمزها به متن ساده استفاده می‌کنند.
- تثبیت دسترسی: اعتبارنامه‌های رمزگشایی شده پس از اعتبارسنجی و فیلتر کردن Honeypotها، برای اولویت‌بندی اهداف با ارزش بالا استفاده می‌شوند. سپس، حساب‌های مدیریتی جدیدی روی فایروال ایجاد می‌شود تا Persistence (ماندگاری) در شبکه تضمین شود.
- گسترش در شبکه: پس از دسترسی، مهاجمان وارد محیط قربانی شده و با انجام Active Directory Enumeration و حملات Password Spraying، دسترسی‌های خود را گسترش داده و حساب‌های دارای امتیاز بالا (Privileged Accounts) را شناسایی می‌کنند.
جان استرند، مالک Black Hills Information Security، اشاره کرد که نگران‌ترین بخش FortiBleed، ایجاد دسترسی‌های پنهان و طولانی‌مدت برای عوامل تهدید است. او تأکید کرد مهاجمی که ترجیح می‌دهد به‌طور مخفیانه و برای مدت طولانی در شبکه سازمان حضور داشته باشد، بسیار خطرناک‌تر از مهاجمی است که بلافاصله پس از ورود، سیستم‌ها را قفل کرده و حضور خود را اعلام می‌کند.
