L’activité de FortiBleed liée à INC Ransom et Lynx, selon des chercheurs

Des chercheurs estiment que la campagne FortiBleed du mois dernier est plus étroitement liée à l’écosystème des rançongiciels qu’on ne le pensait, après avoir découvert qu’un opérateur aurait utilisé un accès d’affilié pour INC Ransom et Lynx.

L’unité de recherche sur les menaces de SOC Radar a déclaré avoir passé plusieurs semaines à cartographier l’infrastructure associée à la campagne et avoir découvert les journaux d’un serveur exposé à la suite d’une erreur opérationnelle. Ces enregistrements montreraient qu’un membre du groupe de courtiers en accès initiaux s’est connecté aux portails d’affiliés des deux groupes de rançongiciels, ce qui suggère un lien direct entre l’accès volé à des équipements FortiGate et les activités d’extorsion menées en aval.

Les éléments recueillis indiquent un transfert vers des groupes de rançongiciels

Selon les chercheurs, cette activité de connexion commune constitue à ce jour le signe le plus probant que FortiBleed n’était pas une simple opération de vol d’identifiants, mais un maillon de la chaîne qui fournit aux groupes de rançongiciels un accès aux réseaux des victimes. L’équipe affirme avoir jusqu’à présent relié au moins 12 incidents impliquant des rançongiciels à des organisations touchées par FortiBleed.

SOC Radar a également indiqué que la campagne dans son ensemble était plus vaste que ne le laissaient penser les premiers décomptes d’attaques. Son analyse a porté sur 11 250 portails Fortinet, alors que plus de 430 000 pare-feu auraient été ciblés. Sur cet ensemble, les chercheurs ont confirmé un accès de niveau administrateur sur 409 systèmes. Sur 354 d’entre eux, les attaquants auraient mené à bien l’intégralité de la chaîne d’intrusion, notamment la compromission du VPN, l’accès au réseau interne ainsi que l’atteinte de contrôleurs de domaine et de comptes administrateur du domaine.

Le fonctionnement de la campagne

FortiBleed a été divulguée le 17 juin et n’a pas été présentée comme une nouvelle vulnérabilité logicielle. Les enquêteurs ont plutôt indiqué que les attaquants avaient intercepté des éléments d’authentification du VPN SSL, puis cassé les hachages capturés à l’aide d’un vaste cluster de GPU géré via Hashtopolis. Une fois les identifiants récupérés, les opérateurs pouvaient pénétrer dans les environnements Active Directory des victimes et maintenir leur persistance.

Fortinet avait précédemment introduit PBKDF2 pour le stockage des identifiants, mais cette modification ne prenait effet qu’après une nouvelle connexion des administrateurs. Par conséquent, certaines organisations pouvaient encore s’appuyer sur un stockage reposant sur l’ancien système SHA-256 avec sel, davantage exposé aux attaques par force brute.

Les premiers articles consacrés à la campagne estimaient que plus de 73 000 URL uniques de pare-feu avaient pu être ciblées avec succès, tandis qu’une longue liste de grandes entreprises est ensuite apparue dans les discussions publiques autour de l’incident.

Pour les défenseurs, ces dernières découvertes confirment que l’exposition d’équipements FortiGate peut rapidement se transformer en un risque accru de rançongiciel, notamment lorsque l’accès volé est revendu ou réutilisé par plusieurs groupes criminels.