FortiBleed ล็อคผู้ใช้จริงไม่ให้เข้าถึงอุปกรณ์ Fortinet

แคมเปญ FortiBleed ที่มุ่งเน้นการเก็บเกี่ยวข้อมูลระบุตัวตน (credential-harvesting) และทำหน้าที่เป็นตัวกลางในการเข้าถึงระบบ (access-broker) ยังคงมีความเคลื่อนไหวอย่างต่อเนื่อง ล่าสุดพบว่าผู้โจมตีกำลังดำเนินการล็อคไม่ให้องค์กรต่างๆ สามารถเข้าถึงอุปกรณ์ Fortinet ของตนเองได้

การโจมตีนี้เริ่มต้นขึ้นตั้งแต่เดือนมิถุนายน โดยพุ่งเป้าไปที่ Fortinet FortiGate firewalls และอุปกรณ์ SSL VPN ที่เชื่อมต่อกับอินเทอร์เน็ต การวิเคราะห์ของ Fortinet ระบุว่าผู้โจมตีใช้ข้อมูลระบุตัวตนที่เคยรั่วไหลมาก่อนหน้านี้ร่วมกับเทคนิค brute-force เพื่อเข้ายึดอุปกรณ์ที่มีการป้องกันต่ำ

เพียงสัปดาห์เดียว การโจมตีได้ส่งผลกระทบต่อ อุปกรณ์ Fortinet มากกว่า 86,000 เครื่อง ใน 190 ประเทศ โดยมีข้อมูลระบุว่า initial access broker ชาวรัสเซีย เป็นผู้อยู่เบื้องหลังแคมเปญนี้

ล่าสุด SOCRadar ระบุ ว่าพบอุปกรณ์ที่ถูกบุกรุกแล้วประมาณ 86,644 เครื่องใน 194 ประเทศ พร้อมย้ำว่านี่คือจำนวนที่ยืนยันการบุกรุกจริง ไม่ใช่เพียงการคาดการณ์ความเสี่ยง และอุปกรณ์ที่ถูกเจาะไปเมื่อหลายเดือนก่อนยังคงถูกกลุ่มผู้ไม่หวังดีเฝ้าตรวจสอบอยู่

ใน คำแนะนำร่วม (PDF) ที่เผยแพร่โดย FBI และ US Secret Service (USSS) ได้แจ้งเตือนว่าแฮกเกอร์เริ่มล็อคไม่ให้องค์กรเข้าถึงอุปกรณ์ Fortinet โดยการเปลี่ยนรหัสผ่านและลบบัญชีผู้ใช้เดิมทิ้ง เพื่อขัดขวางเจ้าของระบบและรักษาการเข้าถึงไว้อย่างต่อเนื่อง (persistence) ในขณะที่พยายามเคลื่อนไหวภายในเครือข่าย (lateral movement)

พฤติกรรมที่ตรวจพบประกอบด้วยการสแกนหา SSL VPN portals ที่เปิดเผย, เก็บข้อมูลจาก infostealer logs, แคร็ก hashed credentials แบบออฟไลน์ และวางผังขอบเขตการโจมตีเพื่อหลบเลี่ยง honeypots ก่อนจะนำค่าคอนฟิก VPN ที่ใช้งานได้ไปขายต่อให้กับกลุ่มผู้ไม่หวังดีรายอื่น

FBI และ USSS แนะนำให้องค์กรเร่งตรวจสอบโฮสต์ที่ถูกบุกรุกและขับไล่ผู้โจมตีออกไป สำหรับการป้องกันควรจำกัดการเข้าถึงส่วนการจัดการ (management access), รีเซ็ตรหัสผ่าน VPN และรหัสผ่านผู้ดูแลระบบทั้งหมด, ใช้การยืนยันตัวตนหลายปัจจัย (MFA) ที่ป้องกันการ phishing รวมถึงตรวจสอบ logs และ API keys สำหรับกิจกรรมที่น่าสงสัยอย่างละเอียด