Na última quinta-feira, 20 de maio, especialistas de segurança pública divulgaram que a extensa campanha de roubo de credenciais FortiBleed, que já afetou mais de 1,5 milhão de usuários em todo o mundo, está diretamente ligada ao ransomware Lynx. A descoberta veio após a análise de logs de compromissos de empresas que utilizaram dispositivos Fortinet, como FortiGate e FortiAnalyzer, apontando para a mesma cadeia de compromissos empregada por grupos que espalham o malware Lynx.

O que isso significa? Em termos simples, os invasores identificaram uma falha de segurança, conhecida como FortiBleed, em produtos da Fortinet que permitem o acesso remoto a dispositivos de rede. Explorando essa vulnerabilidade, eles conseguiram extrair credenciais de administrador – nomes de usuário e senhas – que são frequentemente reutilizadas em outras plataformas. Em seguida, essas credenciais foram usadas para se infiltrar em redes corporativas, onde o ransomware Lynx foi implantado para extorquir bilhões de reais.

No Brasil, a situação tem impacto imediato. Uma pesquisa da Associação Brasileira de Segurança da Informação (ABSI) aponta que 45% das empresas brasileiras utilizam dispositivos Fortinet em suas infraestruturas de rede. Se esses dispositivos forem comprometidos, os invasores podem acessar não apenas redes internas, mas também sistemas críticos, como bancos de dados financeiros e sistemas de pagamento. Além disso, o vazamento de dados sensíveis pode colocar em risco o cumprimento da Lei Geral de Proteção de Dados (LGPD), que exige que as empresas protejam informações pessoais de forma eficaz.

A Fortinet divulgou em comunicado que está trabalhando com equipes de resposta a incidentes (CSIRT) para mitigar a vulnerabilidade. Entretanto, especialistas apontam que a rápida disseminação de patches, combinada com boas práticas de segurança, ainda não detém totalmente o problema. O ataque demonstrou que, mesmo com atualizações, a falha de design que permite o bypass de autenticação pode permanecer ativa em produtos que não recebem atualizações em tempo hábil.

Para quem não está familiarizado com o mecanismo, a FortiBleed depende de uma falha de buffer overflow que ocorre quando o dispositivo processa caracteres inesperados em entradas de rede. Quando explorada, essa falha permite a execução de código arbitrário, dando ao atacante controle total sobre o dispositivo. A partir desse controle, o invasor pode coletar credenciais armazenadas em arquivos de configuração, que frequentemente contêm senhas em texto claro.

A conexão com o ransomware Lynx é particularmente perigosa porque o malware não apenas criptografa arquivos, mas também exfiltra dados sensíveis antes de exigir pagamento. Em incidentes anteriores envolvendo o Lynx, as vítimas relataram perdas que variaram de centenas de milhares a milhões de reais, dependendo do tamanho da corporação e da complexidade da rede.

O que fazer agora? Empresas que utilizam dispositivos Fortinet devem realizar uma auditoria imediata de todos os dispositivos FortiGate e FortiAnalyzer em sua rede. Isso inclui: 1) verificar se o firmware está atualizado para a última versão que correção a FortiBleed; 2) revisar e, se necessário, mudar todas as senhas de administrador que possam ter sido comprometidas; 3) implementar autenticação multifator (MFA) para acesso remoto; 4) habilitar logs detalhados e monitorar por atividades suspeitas, como tentativas de login fora do horário normal; 5) colocar em prática segmentação de rede, de modo que dispositivos críticos estejam isolados dos sistemas de dados sensíveis. Além disso, a equipe de segurança deve realizar testes de penetração focados em dispositivos Fortinet para garantir que a vulnerabilidade não persiste.

Nos próximos dias, espera-se que a Fortinet lance atualizações de segurança mais abrangentes, que incluam mitigação de FortiBleed e melhorias na proteção contra exploração de buffer overflow. Paralelamente, autoridades brasileiras de cibersegurança, como o Comitê Gestor da Internet (CGI.br), provavelmente emitirão alertas adicionais informando sobre o risco de ataques direcionados a infraestruturas críticas. A tendência é que o cenário de ameaças escale, pois grupos criminosos continuam a combinar vulnerabilidades de dispositivos de rede com malwares de ransomware, criando um modelo de ataque mais complexo e lucrativo.

Para as empresas brasileiras, a lição é clara: a segurança de rede não pode ser tratada como um item isolado. A manutenção de firmware, a aplicação de boas práticas de senha, a implementação de MFA e a segmentação de rede são medidas que reduzem consideravelmente o risco de um ataque semelhante. Além disso, a LGPD exige que as organizações adotem medidas técnicas e administrativas que garantam a confidencialidade, integridade e disponibilidade das informações pessoais – o que inclui a proteção de dispositivos que possam ser alvos de exploração.

Em resumo, a correlação entre FortiBleed e o ransomware Lynx demonstra que as ameaças evoluíram para um modelo de ataque híbrido, onde a exploração de falhas de infraestrutura é apenas a primeira etapa. A próxima fase envolve a exfiltração de dados e a extorsão financeira. As empresas que não atualizarem seus dispositivos Fortinet, não revisarem suas credenciais e não implementarem MFA correm o risco de se tornarem alvos fáceis para criminosos que buscam lucro rápido.

O cenário no Brasil pode mudar rapidamente, já que as empresas que dependem de Fortinet têm uma janela de tempo limitada para aplicar correções e reforçar defesas. A vigilância constante, a colaboração com fornecedores e a adoção de políticas de segurança robustas são as únicas formas de mitigar os impactos de ataques futuros. Com a crescente sofisticação dos cibercriminosos, a postura proativa de segurança cibernética se torna mais essencial do que nunca.

Fonte: BleepingComputer