FortiBleed : la campagne qui vole les titres de FortiGate et expose la nouvelle économie d'accès

Un opérateur d'accès initial parlant russe, motivé par des avantages économiques, est à l'origine d'une vaste campagne de collecte de lettres de créances que les chercheurs ont baptisée FortiBleed et aurait affecté des centaines de milliers d'appareils FortiGate et un vaste ensemble de services exposés. Selon des rapports publics, l'opération combine un balayage à grande échelle, une force brute, le déploiement d'un sniffer personnalisé basé sur le Golang - en tirant parti de la capacité légitime de FortiOS à exécuter des commandes de diagnostic - et une chaîne automatisée pour le cracking et la réutilisation des identifiants à Active Directory et d'autres services.

La portée technique et opérationnelle décrite par les signatures qui ont analysé la campagne révèle plusieurs signaux qui doivent éclairer les feux d'alarme. Premièrement, la réutilisation de l'utilité native diagnostic paquet sniffer intercepter le trafic rend la détection plus difficile parce que l'acteur n'introduit pas de code de noyau bruyant ou de portes arrières : il utilise les fonctionnalités existantes pour capturer des identifiants de texte clairs et des hachages lorsqu'ils passent par l'application. Deuxièmement, l'architecture de l'opération - pipelines automatisés, gestion des fissures avec des outils collaboratifs et un bot qui orchestre l'œuvre - permet d'évaluer rapidement l'exploitation et la monétisation, ce qui explique les chiffres de dizaines de millions de jetons et de haches identifiés.

Cette campagne n'est pas seulement une attaque contre des dispositifs spécifiques; elle montre comment les tactiques initiales des courtiers en accès (BAI) ont été sophistiquées pour exploiter les économie d'accès: priorité des objectifs en fonction de la valeur économique, concentration sur les prestataires de services et les PME, abandon des objectifs qui ne répondent pas aux critères de rentabilité. Compromis un pare-feu d'un fournisseur de services ou d'un MSP peut créer des itinéraires vers plusieurs réseaux clients, amplifier l'impact et le risque de mouvements latéraux et d'exfiltration.

Une autre dimension critique est la standardisation et la commercialisation d'outils offensants: l'intégration supposée de plates-formes open source avec des capacités d'Aitinative suggère que même les acteurs avec des ressources limitées peuvent orchestrer des campagnes complexes en combinant balayage, grattage et fissuration. Disponibilité publique de scanners et d'outils tels que Masscan ou des services tels que Shodan facilite la phase de reconnaissance de masse; l'obstacle technique au fonctionnement à l'échelle n'est plus exclusif aux groupes soutenus par l'État.

Pour les défenseurs et les administrateurs, la lecture est claire : la surface d'attaque comprend non seulement des vulnérabilités exploitables, mais aussi des configurations et des pratiques opérationnelles. Exposer des panneaux administratifs, consoles SSH ou SSL-VPN à Internet sans contrôles robustes et l'authentification multifactorielle joue avec avantage pour les attaquants. En outre, la présence de mécanismes de géofençage et d'heures de fonctionnement dans la campagne indique une intention d'éviter la détection locale et de réduire le bruit, afin que les fenêtres d'activité puissent être délibérément discrètes et correspondre aux heures de travail locales.

Dans la pratique, la réponse devrait être double : atténuer l'exposition et améliorer la détection. Mitigar passe immédiatement en revue l'exposition publique des interfaces administratives et des VPN, limite l'accès IP, déploie des VPN d'hôtes de saut ou de base pour l'administration, et force l'authentification multifactor dans tous les accès privilégiés. Sur les appareils FortiGate, il convient de valider les versions et correctifs pris en charge publiés par le fabricant, d'examiner le journal administratif pour l'utilisation inhabituelle des commandes diagnostiques et d'évaluer la possibilité de désactiver ou de limiter l'accès au diagnostic à partir des interfaces publiques. Fortinet publie des avis de sécurité et des guides sur son portail officiel à consulter comme référence pour les correctifs et les mesures d'atténuation: Avis de sécurité de Fortinet.

La détection nécessite une instrumentation: corréler les tentatives massives d'authentification avec l'origine géographique, identifier les éclats de validation simultanée (en milliers de fils / seconde), surveiller les fissures de hachage dans l'infrastructure connue et alerter aux modèles atypiques dans le trafic d'authentification. Une approche basée sur des techniques et des tactiques communes (par exemple, celles documentées dans le cadre MITRE ATT & CK) aide à la détection et à la réponse des structures : suivi des lettres de créances volées, mouvement latéral et infiltration. De plus amples informations sur les familles techniques sont disponibles à l'adresse suivante: MITRE ATT & CK.

Si vous soupçonnez que votre organisation a été touchée, agissez selon le principe de l'engagement : dressez un inventaire de l'accès administratif exposé, changez et faites pivoter les lettres d'identité et les comptes de service privilégiés, révoquez les sessions et les jetons Web, et analysez la configuration SSH, les clés autorisées et les cronjobs. La présence d'utilisateurs ou de paires d'identifications répétées dans plusieurs PI peut indiquer des comptes plats par l'attaquant, de sorte que tout compte inconnu ou reproduit inexplicablement doit être examiné et désactivé. En cas d'engagement démontré, le nettoyage complet de l'équipement et la restauration à partir d'images fiables sont souvent l'option la plus sûre.

Enfin, la leçon stratégique est que les défenses périmérales traditionnelles ne suffisent plus : la combinaison de Zero Trust, segmentation réseau, privilège minimum et surveillance continue est essentielle pour contenir de telles opérations. Investir dans la détection précoce, de solides pratiques de gestion de l'identité et la protection des fournisseurs et des chaînes d'approvisionnement est maintenant aussi important que de corriger les vulnérabilités individuelles.

Pour approfondir et tenir à jour la défense, nous recommandons de consulter régulièrement les sources techniques et les avis du fabricant, d'intégrer le renseignement sur les menaces et de valider les contrôles avec des exercices de sécurité. Les outils et tactiques qui permettent des campagnes comme FortiBleed sont accessibles au public; la différence fait la préparation et la capacité de détecter et de neutraliser les tentatives avant qu'elles ne deviennent des accès persistants.