FortiBleed : le vol massif de lettres de créances qui lance la chaîne Ransomware

L'exposition récente de l'opération connue sous le nom de FortiBleed confirme quelque chose que les équipes d'intervention et le renseignement de cybersécurité craignaient : la masse d'identifications volées aux appareils FortiGate n'était pas une fin en soi, mais la première étape d'une chaîne de monétisation qui se termine en ansomware. Selon l'analyse publiée par la firme de renseignement, un opérateur relié à l'infrastructure FortiBleed a été directement impliqué dans les groupes de négociation des groupes d'extorsion INC et Lynx, qui ont lié le vol massif d'accès administratif aux déploiements ultérieurs de chiffrements.

Le mode d'exploitation décrit combine des techniques classiques et des étapes pernicieuses qui ne sont pas visibles: numérisation massive d'Internet pour détecter FortiGate exposé, tentatives avec des combinaisons d'identifications connues, et l'installation d'un sniffer go-writing qui recueille des identifiants et des jetons en transit. La portée signalée est alarmante : il est signalé que l'acteur a ciblé environ 430 000 pare-feu, installé le sniffer sur environ 12 000 appareils et recueilli plus de 110 millions d'identifications, l'accès administratif étant vérifié dans des centaines d'équipes et au moins 12 déploiements de ransomware confirmés.

Au-delà des chiffres, il y a deux éléments qui aggravent la menace et que chaque agent de sécurité doit prendre en considération. Premièrement, l'opération semble organisée et professionnelle : la documentation interne suggère une structure d'une vingtaine de personnes ayant des rôles distincts (exploitants, spécialistes et soutien), ce qui facilite des opérations durables et évolutives. Deuxièmement, la combinaison de courtiers d'accès initiaux qui vendent ou facilitent l'accès à des bandes de ransomware réduit les frictions en cas d'attaques destructrices; ce qui pourrait être auparavant un vol d'information «simple» devient une interruption opérationnelle et une extorsion.

La campagne a également entraîné une erreur de sécurité opérationnelle de l'acteur lui-même : un serveur avec des identifiants volés a été exposé sur Internet, ce qui a permis aux chercheurs d'analyser des fichiers, des dossiers et des outils. Cette fuite est une opportunité pour les défenseurs : les artefacts trouvés peuvent contenir des indicateurs de compromis (IoC) et des modèles de comportement qui facilitent les recherches internes, les blocages et l'assainissement proactif.

Parallèlement, des avoirs actifs d'une vulnérabilité ont été signalés dans FortiClient EMS (rapportés par eSentire concernant un cas dans le secteur de l'énergie / des services publics), avec le déploiement d'un braqueur d'identification connu sous le nom de EKZ Stealer, qui tire les mots de passe des navigateurs et les exfiltre via PowerShell. Cette autre façon illustre une réalité claire : les attaquants utilisent plusieurs voies (exploitations, sniffers, combinaisons d'identifications) pour atteindre le même objectif final : les identités privilégiées.

Les implications pratiques pour les organisations moyennes et grandes sont immédiates. À court terme, il est essentiel de vérifier l'intégrité et la configuration de tout dispositif FortiGate ou FortiClient sur son périmètre : mettre à jour le firmware et les correctifs du fabricant, faire pivoter les références administratives, forcer l'application de MFA pour l'accès administratif à distance et vérifier l'accès récent dans les panneaux de gestion. Il est également essentiel de rechercher des preuves de sniffers ou binaires inhabituels sur la route réseau entre les clients et les serveurs, et d'examiner les journaux pour les connexions sortantes atypiques qui pourraient indiquer l'exfiltration des identifiants.

En termes opérationnels, les équipes de sécurité devraient traiter les titres de créance comme potentiellement compromis : renouveler des paires de clés et de certificats au besoin, segmenter la gestion des appareils sur des réseaux distincts avec des contrôles d'accès stricts et centraliser le journal des événements (SIM) pour corréler les tentatives d'accès, les privilèges d'élévation et les mouvements latéraux. Si leur organisation fait partie des secteurs jugés préférentiels par les attaquants - fabrication, technologie et logistique dans LATAM et APAC - ces actions devraient être prioritaires.

Outre les mesures techniques, il existe deux étapes organisationnelles qui font souvent la différence : coordonner avec le fournisseur touché pour partager les conclusions et demander des correctifs officiels ou des mesures d'atténuation, et communiquer l'incident aux autorités et aux plateformes d'échange de renseignements pour couper les canaux de monétisation. Des recherches telles que les avis SOCRadar et eSentire offrent un contexte utile et parfois IoC; les comparent à leurs dossiers internes et agissent rapidement sur les coïncidences.

Pour poursuivre et suivre les recommandations officielles, voir à la fois l'information publique de l'entreprise qui a signalé la campagne et les communications du fournisseur concerné. Plus d'informations sur le site SOCRadar Socrates et sur le portail eSentire eSentire, et contacter le fabricant pour les guides et les correctifs à travers le centre de sécurité de Fortinet Fortinet.

Bref, FortiBleed rappelle que les infrastructures de réseau exposées et les références réutilisées sont une mine d'or pour l'économie de la cybercriminalité. La bonne nouvelle est que bon nombre des défenses efficaces sont connues et adoptées: patching rapide, rotation des références, MFA, segmentation, surveillance continue et coordination avec les fournisseurs et les communautés de renseignement. L'action sur ces pratiques aujourd'hui réduit considérablement le risque d'être la prochaine victime d'une chaîne qui commence par le vol d'un mot de passe administrateur et se termine par des opérations ransomware organisées.