تحقیقات اخیر FBI در مورد حملات جاری FortiBleed نشان می‌دهد که قربانیان ممکن است دسترسی خود به فایروال‌هایشان را از دست بدهند، در حالی که مهاجمان همچنان به سیستم متصل باقی می‌مانند.
زیرساخت‌های عملیاتی و هدف‌گذاری
پس از دسترسی به یک سرور بک‌اند (Backend) که توسط مهاجمان رها شده بود، FBI و سرویس مخفی ایالات متحده جزئیات جدیدی از این عملیات را به اشتراک گذاشتند که تاکنون بیش از ۸۰,۰۰۰ دستگاه را در سراسر جهان تحت تأثیر قرار داده است. این سرور به محققان اجازه داد تا زیرساخت‌های پشت این عملیات، از جمله سیستم‌های مورد استفاده برای پردازش اعتبارنامه‌های سرقت شده (Stolen Credentials)، شکستن هش‌های رمز عبور (Password Hashes) و شناسایی اهداف احتمالی را مشاهده کنند. طبق گزارش FBI، عاملان تهدید سازمان‌ها را بر اساس میزان درآمد و ساختار شبکه آن‌ها رتبه‌بندی می‌کردند.
از آسیب‌پذیری تا تثبیت حضور
محمد یحیی پاتل، مشاور امنیت سایبری در Huntress، معتقد است که FortiBleed دیگر صرفاً یک داستان درباره آسیب‌پذیری نیست، بلکه موضوع اصلی آن تثبیت حضور (Persistence) است. اعتبارنامه‌ها از ماه‌ها پیش سرقت شده‌اند و اکنون پرسش اصلی برای هر سازمان این است که آیا این دسترسی‌ها همچنان در حال استفاده هستند یا خیر.
عاملان تهدید با ایجاد حساب‌های مدیریتی، شناسایی محیط‌های Active Directory و استفاده از اعتبارنامه‌های لو رفته برای حرکت عرضی (Lateral Movement) در شبکه عمل کرده‌اند. همچنین گزارش شده است که دسترسی‌های به‌دست‌آمده در این کمپین، در اختیار گروه‌های وابسته به باج‌افزار (Ransomware) از جمله INC/Lynx و Payload قرار گرفته است.
ریسک عملیاتی: مسدود کردن دسترسی مدیران
یکی از خطرناک‌ترین قابلیت‌های کشف شده، توانایی مهاجمان در مسدود کردن دسترسی سازمان‌ها به تجهیزات خود است. FBI اعلام کرد که برخی قربانیان ممکن است دسترسی خود به دستگاه‌های FortiGate را در زمانی که مهاجمان رمز عبور حساب‌های موجود را تغییر داده یا آن‌ها را حذف می‌کنند، از دست بدهند.
در طی یک نفوذ، مهاجمان ابتدا حساب‌های جدیدی ایجاد می‌کنند و سپس برای جلوگیری از بازگشت مدیران شبکه و تسهیل حرکت در محیط، حساب‌های اصلی را حذف می‌کنند. این وضعیت باعث می‌شود سازمان‌ها نتوانند به‌سادگی وصله‌های نرم‌افزاری (Patch) را اعمال کنند و مجبور شوند برای بازیابی کنترل، دستگاه را به‌صورت فیزیکی بازنشانی کرده (Factory Reset) و سخت‌افزار را از ابتدا پیکربندی کنند.
توصیه‌های امنیتی و مقابله
برای شناسایی نفوذ احتمالی، FBI توصیه‌های زیر را ارائه کرده است:
- بررسی دقیق حساب‌های Fortinet و پیکربندی‌ها برای شناسایی تغییرات غیرمجاز.
- بررسی لاگ‌های فایروال، VPN، سیستم‌های احراز هویت و Domain Controller برای شناسایی فعالیت‌های مشکوک.
- جست‌وجو برای کلیدهای REST API ناشناخته که ممکن است دسترسی خودکار به سیستم‌های FortiGate فراهم کرده باشند.
- پایان دادن به تمامی نشست‌های (Sessions) فعال مدیریتی و VPN.
- بازنشانی (Reset) تمامی اعتبارنامه‌های مدیریتی و VPN در تجهیزات Fortinet.
- اجرای احراز هویت چندعاملی (MFA) مقاوم در برابر فیشینگ.
- استفاده از الگوریتم PBKDF2 برای اعتبارنامه‌های مدیریتی.
همچنین مشخص شده است که مهاجمان از زیرساخت‌های GPU اجاره‌ای برای شکستن رمزها و ابزارهایی مانند Hashcat و Hashtopolic برای توزیع عملیات کرک استفاده می‌کنند. آن‌ها با سرقت فایل‌های پیکربندی (Configuration files)، هش‌ها را به‌صورت آفلاین می‌شکنند و در اولین تلاش، بدون ایجاد هیچ‌گونه هشدار مربوط به ورود ناموفق، وارد سیستم می‌شوند.
