Детали расследования ФБР по продолжающимся атакам FortiBleed показывают, что жертвы могут быть заблокированы на своих межсетевых экранах, в то время как злоумышленники остаются в системе.
Получив доступ к серверу, оставленному злоумышленниками, ФБР и Секретная служба США поделились новыми подробностями операции, которая уже затронула более 80 000 устройств по всему миру.
Сервер предоставил следователям обзор инфраструктуры, стоящей за операцией, включая системы, используемые для обработки украденных учетных данных, взлома хэшей паролей и выявления потенциальных целей. Операторы также ранжировали организации по доходам и структуре сети, говорится в консультативном документе ФБР.
«FortiBleed — это уже не история об уязвимости, — сказал Мухаммад Яхья Пател, vCISO, консультант по кибербезопасности EMEA в Huntress. — Это история о сохранении доступа. Учетные данные были украдены месяцы назад. Вопрос, на который каждая организация должна ответить: используются ли они прямо сейчас?»
Злоумышленники создавали административные учетные записи, перечисляли среды Active Directory и использовали скомпрометированные учетные данные для бокового перемещения, добавили в ФБР. Доступ, полученный в результате кампании, также предлагался партнерам программ-вымогателей, включая INC/Lynx и Payload ransomware.
Злоумышленники могут заблокировать защитников
Новая раскрытая возможность блокировки представляет собой более непосредственный операционный риск для затронутых организаций. ФБР сообщило, что некоторые жертвы могут потерять доступ к своим устройствам FortiGate, когда злоумышленники удалят или изменят пароли существующих учетных записей.
Во время вторжения злоумышленники создают новые учетные записи, которых ранее не было на устройстве. В некоторых случаях они затем удаляют существующие учетные записи, предотвращая сохранение доступа организации и пытаясь перемещаться по сети.
«Когда у вас больше нет доступа к собственному межсетевому экрану, вы не можете просто применить исправление программного обеспечения и двигаться дальше, — сказал Бен Бернштейн, менеджер команды консультантов по кибербезопасности в Huntress. — Эти злоумышленники знают, что организациям придется физически сбросить настройки до заводских и перестроить оборудование перед началом шифрования».
Новые имена учетных записей и индикаторы инфраструктуры, опубликованные ФБР, могут помочь организациям расследовать потенциальные компрометации. Агентство рекомендовало проверять учетные записи и конфигурации Fortinet на наличие несанкционированных изменений, проверять журналы межсетевых экранов, VPN, аутентификации и контроллеров домена на предмет подозрительной активности, а также искать неизвестные или неожиданные ключи REST API, которые могут предоставить злоумышленникам автоматизированный доступ к системам FortiGate.
Также были рекомендованы завершение активных административных сеансов и сеансов VPN, сброс учетных данных администратора и VPN Fortinet, принудительное использование устойчивой к фишингу многофакторной аутентификации и использование PBKDF2 для учетных данных администратора.
Хакеры арендовали GPU для взлома паролей
Среди вновь раскрытых деталей — использование арендованной GPU-инфраструктуры для взлома паролей, Hashcat и Hashtopolic для распределения задач по взлому, а также инструменты для проверки и приоритизации восстановленных учетных данных.
«Злоумышленники крадут файлы конфигурации, взламывают хэши паролей офлайн на своем оборудовании и входят в систему с первой попытки, не генерируя ни одного предупреждения о неудачном входе, — отметил Бернштейн. — Целевые атаки на периферийные устройства, такие как VPN и межсетевые экраны, не новы, но эта кампания FortiBleed выделяется контрастом между тихим первоначальным доступом и агрессивным последующим захватом».
Инфраструктура, обнаруженная следователями, включала серверы управления и контроля (C2), ретрансляционные узлы и системы сканирования, при этом несколько IP-адресов были идентифицированы как используемые для брутфорс-атак или успешной аутентификации с использованием скомпрометированных учетных записей. ФБР опубликовало эти индикаторы, чтобы помочь организациям расследовать потенциальные компрометации, предупредив при этом, что некоторая инфраструктура могла быть назначена динамически или временно.
Были также найдены доказательства того, как операторы сохраняли доступ после первоначального компрометации. На затронутых устройствах FortiGate создавались новые учетные записи, при этом ФБР идентифицировало ряд имен учетных записей, найденных в системах жертв. В некоторых случаях злоумышленники могли также использовать уязвимости SSH, если порт был открыт.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
