Campania de Furt de Credentiale FortiBleed legata de ransomware-ul Lynx

Descriere Meta: O campanie de furt de credențiale legată de FortiBleed este asociată cu operatorii de ransomware INC și Lynx, crescând probabilitatea acces pre-poziționat pentru rețele viitoare intruziunilor și escaladării rapide a privilegiilor.

Echipele de securitate ar trebui să trateze această activitate ca un precursor urgent al compromiterii accesului: atacatorii par să colecteze credențiale Fortinet din medii FortiGate vulnerabile și apoi să folosească acele conturi pentru a accelera implementarea ransomware-ului, mișcarea laterală și persistența.

Rezumat al Amenințărilor

Informațiile despre amenințări indică o campanie de furt de credentiale FortiBleed care a fost asociată cu ransomware INC și ransomware Lynx. Pericolul principal nu este doar compromiterea dispozitivului, ci și utilizarea ulterioară a credentiale Fortinet furate pentru a obține acces legitim la rețelele interne și interfețe administrative - reducând timpul atacatorului până la impact odată ce operatorii de ransomware se implică.

Descompunere Tehnică a Vulnerabilității sau Problemei

FortiBleed se referă la o clasă de vulnerabilități FortiOS (în special CVE-2022-42475) care pot permite expunere a memoriei prin cereri create. În lanțurile de intruziune observate, această expunere a memoriei este folosită ca armă pentru obține valori sensibile, inclusiv credențiale sau date legate de sesiune care pot fi folosite pentru a se impersona ca administratori sau pentru a se autentifica la serviciile de management.

Odată ce atacatorii au obținut acces utilizabil, ei tind să treacă de la exploatare la intruziune bazată pe credențiale: conectarea ca un utilizator legitim, enumerarea resurselor de rețea, implementarea uneltelor atacatorului și stabilirea căilor de persistență care se încadrează în comportamentul administrativ normal. Legătura cu ransomware sugerează că credențialele furate pot fi folosite ca acces mecanism de testare—fie imediat, fie pentru a susține operațiuni ulterioare de aceiași (sau colaboratori) actori de amenințare.

Analiză a Impactului (cine este afectat)

Acest incident afectează în principal organizațiile care rulează sisteme vulnerabile FortiGate/FortiOS implementări - în special acolo unde managementul la distanță sau suprafețele VPN/SSL-VPN sunt accesibile de pe internet, sunt configurate incorect sau nu sunt controlate strâns. Riscul practic este crescut pentru mediile care se bazează pe echipamente Fortinet pentru:

• Acces administrativ către rețelele interne și securitate instrumente
• Acces la distanță pentru angajați și terțe părți
• Fluxuri de lucru adiacente identității (integrări SSO, portaluri de management și servicii de autentificare)

Atunci când este implicată furtul de credențiale, impactul în lumea reală se extinde dincolo de dispozitivul de margine compromis inițial. Credențialele Fortinet furate pot permite:

• Escaladare rapidă a privilegiilor și modificări de configurare
• Mișcare laterală în segmentele interne
• Execuție mai rapidă a ransomware-ului cu mai puține exploatări zgomotoase
• Disrupție operațională din cauza unui răspuns la incidente grăbit și a pierderii potențiale de date

Nivel de risc: Ridicat. Asocierea cu ransomware-urile INC și Lynx implică o cale credibilă de la furtul de credențiale la perturbări la scară largă, comprimând adesea timpul de ședere al atacatorului și reducând fereastra de reacție a apărătorilor.

Miturile Recomandate sau Insight-ul de Securitate

• Instalați imediat patch-urile: Aplicați cele mai recente Actualizări de firmware Fortinet abordând FortiBleed și avertizările conexe pentru modelul exact al dispozitivului dvs. și versiunea FortiOS. Confirmați remedierea utilizând ghidul PSIRT al furnizorului pentru CVE-urile aplicabile.
• Rotiți credențialele și revocați accesul: Dacă se bănuiește furtul de credențiale, efectuați o completă Rotirea parolei de administrator Fortinet, invalidați sesiunile/token-urile și revizuiți orice integrări (SSO, chei API) care ar fi putut fi expuse.
• Restricționați expunerea la management: Limitați accesul la interfețele de management Fortinet folosind Liste albe de IP-uri, administrare doar prin VPN și controale de rețea consolidate. Eliminați expunerea directă la internet acolo unde este posibil.
• Impuneți MFA și reduceți raza de acțiune: Solicitați MFA pentru logările administrative și asigurați un design de cont cu cel mai mic privilegiu. Evitați conturile de administrator partajate.
• Căutare urme de intruziune bazată pe credențiale: Monitorizați jurnalele Fortinet și sistemele downstream pentru logările de administrator anormale, modificările neobișnuite de geolocație/sursă, noii utilizatori de administratori, modificările de configurare și modelele de autentificare suspecte puțin înainte de activitatea legată de ransomware.
• Validați integritatea post-incident: După aplicarea patch-urilor și resetarea credențialelor, verificați din nou configurația dispozitivului pentru modificări neautorizate (utilizatori, servicii, setări de acces la distanță, sarcini programate și conexiuni de ieșire).

Informații de securitate: Tratați credențialele Fortinet furate ca