Alerta sobre campanha FortiBleed ainda ativa e perigosa
O FBI e o Serviço Secreto dos Estados Unidos divulgaram um alerta na terça feira avisando que a campanha FortiBleed continua ativa podendo bloquear usuários de suas contas no Fortinet e servir como porta de entrada para ataques de ransomware.
Organizações afetadas podem se ver fechadas fora de seus sistemas se os atores de ameaça desativarem contas ou alterarem senhas exigindo medidas de correção além da simples aplicação de patches e redefinição de senhas.
Quando a campanha foi descoberta inicialmente neste ano o SOCRadar verificou mais de 86,644 dispositivos comprometidos em 194 países. Ensar Seker chief information security officer da empresa afirmou que em investigações posteriores foram identificados entre 400,000 e 450,000 firewalls alvo da operação mais ampla.
Segundo Seker esses números mostram que a ameaça é maior e mais séria do que se acreditava no início. Os invasores podem desativar contas ou modificar senhas para tirar o acesso dos proprietários legítimos tornando a simples redefinição de senha e a aplicação de patches insuficientes.
O alerta ainda destaca que corretores de acesso inicial estão usando a FortiBleed para vender acesso a afiliados de ransomware como o grupo INC Lynx e o grupo Payload.
As autoridades recomendam que clientes Fortinet restrinjam o gerenciamento externo ou removam totalmente a administração pela internet redefinam credenciais ativem autenticação multifator revisem usuários de firewall e VPN por alterações não autorizadas examinem logs em busca de movimentação lateral e habilitem armazenamento seguro de credenciais.
- Restringir gerenciamento externo
- Remover administração pela internet
- Redefinir credenciais
- Ativar autenticação multifator
- Revisar usuários de firewall e VPN
- Examinar logs para movimentação