FBI XƏBƏRDARLIĞI: FortiBleed Kampaniyası Aktivdir, Minlərlə Fortinet Cihaz Giriş Məlumatı Ələ Keçirilib

ABŞ Federal Təhqiqat Bürosu (FBI) FortiBleed Kampaniyasının Fəaliyyətini Davam Etdirdiyini Bildirdi

ABŞ Federal Təhqiqat Bürosu (FBI) və Məxfi Xidmət (USSS) çərşənbə axşamı FortiBleed giriş məlumatlarının toplanması kampaniyasının aktiv bir təhdid olaraq qaldığını və internetə çıxışı olan Fortinet FortiGate firewall-larını və təhlükəsiz soket qatlı (SSL) VPN keçidlərini hədəf aldığını xəbərdar edib. Agentliklər birgə bildirişdə qeyd ediblər ki, kampaniya təkrar istifadə edilmiş və ya sızan giriş məlumatlarından, eləcə də köhnə SHA-256 parol saxlama üsullarından istifadə edərək təhlükə aktorlarına əvvəllər toplanmış və ya ələ keçirilmiş giriş məlumatları vasitəsilə cihaza daxil olmağa imkan verir.

FortiBleed: Təfərrüatlar və Hədəflər

Bu birgə xəbərdarlıq, Mandiant şirkətinin Çinə bağlı dövlət təhdid aktorlarının (UNC3886 olaraq izlənilən) Fortinet FortiGate SSL VPN cihazlarındakı kritik bir zəiflikdən (CVE-2022-42475, CVSS skoru: 9.8) RCE əldə etmək üçün istifadə etdiyini aşkar etməsindən demək olar ki, bir il sonra gəlir. Həmin xüsusi zəiflik Fortinet tərəfindən 2022-ci ilin dekabrında aradan qaldırılsa da, FortiBleed olaraq adlandırılan yeni kampaniya, FortiGate SSL VPN-dəki kritik pre-identifikasiya RCE zəifliyi (CVE-2023-27997) üçün bir Exploit ilə birlikdə oğurlanmış Fortinet giriş məlumatlarının istifadəsini nəzərdə tutur.

Potensial Sıfır-gün Exploit və Əldə Edilən Məlumatların Miqyası

Fortinet CVE-2023-27997 üçün düzəlişləri 2023-cü ilin iyununda yayımlasa da, FBI təhlükə aktorlarının “bu zəifliyi hələ 2023-cü ilin martından etibarən aktiv şəkildə Exploit etdiyini” müşahidə edib ki, bu da potensial bir sıfır-gün Exploit göstəricisidir. Agentlik əlavə edib ki, hücum edənlər dünya üzrə FortiGate SSL VPN-lərindən “86.644-dən çox Fortinet cihaz giriş məlumatı” toplayıblar. Bu giriş məlumatlarının toplanması hər hansı xüsusi bir qrupa aid edilmir, əksinə “fürsətçi xarakter” daşıyır. Bu, təhlükə aktorlarına “uzaqdan girişin təmin edilməsi üçün istifadə olunan cihazların giriş məlumatlarını əldə edərək şəbəkəyə ilkin giriş qazanmağa” imkan verir.

Tövsiyələr və Oxşar Təhdidlər

Təşkilatlar öz FortiGate cihazlarını dərhal yamamağa, çoxfaktorlu identifikasiyanı (MFA) tətbiq etməyə və hər hansı şübhəli fəaliyyəti aşkar etmək üçün şəbəkə jurnallarını müntəzəm olaraq izləməyə çağırılır. Bu hadisə həmçinin ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyinin (CISA) FortiClient EMS zəifliyinin (CVE-2023-48788) əvvəllər məlum olmayan bir variantının Ransomware yaymaq üçün hücumlarda aktiv şəkildə Exploit edildiyini aşkar etdiyi dövrə təsadüf edir. CVSS skoru 9.8 olan bu boşluq, icazəsiz aktorlara təsirə məruz qalan sistemlərdə SYSTEM imtiyazları ilə RCE əldə etməyə imkan verir.