Le NCSC alerte les organisations après une campagne mondiale visant les pare-feu et passerelles VPN Fortinet

Le Centre national britannique de cybersécurité (NCSC) a publié de nouvelles recommandations après que des produits pare-feu et VPN Fortinet ont été ciblés dans le cadre d’une campagne mondiale qui pourrait également avoir touché certaines organisations au Royaume-Uni.

Selon l’agence, les attaquants semblent avoir utilisé des tentatives par force brute, des attaques par dictionnaire et du credential stuffing contre des portails FortiGate et VPN accessibles depuis Internet. Dans certains cas, un acteur malveillant aurait divulgué une base de données d’identifiants après ces tentatives. Le credential stuffing consiste à essayer des combinaisons de noms d’utilisateur et de mots de passe volées sur d’autres services, en espérant que les utilisateurs aient réutilisé les mêmes identifiants ailleurs.

Qui pourrait être concerné

L’avertissement concerne les organisations qui utilisent des équipements réseau Fortinet, en particulier celles dont le VPN SSL est activé et exposé à Internet. Le NCSC indique que ces organisations doivent vérifier si elles ont été exposées et rechercher des signes indiquant que leurs équipements ont été compromis.

• Utilisez un outil de vérification des actifs FortiBleed, tel que ceux fournis par SOCRadar ou Hudson Rock, afin de vérifier si certains de vos domaines apparaissent dans les listes d’alerte précoce.
• Confirmez que l’équipement existe, qu’il est sous votre contrôle et qu’il est accessible depuis Internet.
• Examinez les journaux et recherchez des indicateurs de compromission, notamment la création non autorisée de comptes ou toute autre activité inhabituelle.
• Si une compromission est suspectée, déconnectez l’équipement d’Internet et du réseau interne.

Réponse recommandée

Le NCSC indique que les organisations concernées devraient envisager une réinitialisation complète de l’équipement aux paramètres d’usine plutôt que de se contenter de modifier les mots de passe, car les attaquants pourraient avoir établi une persistance. Avant la réinitialisation, les équipes doivent conserver les journaux, les configurations et tout autre artefact susceptible de contribuer à l’enquête.

Il est également demandé aux organisations d’examiner les autres équipements en périphérie du réseau qui pourraient partager des identifiants, ainsi que de vérifier les systèmes auxquels l’équipement concerné aurait pu donner accès. Il est recommandé de surveiller les journaux du pare-feu afin de détecter d’éventuels signes de déplacement latéral et de confirmer que l’incident ne s’est pas propagé davantage.

Après la remise en service, le NCSC recommande de renforcer l’environnement en supprimant l’exposition à Internet des interfaces d’administration, en appliquant les dernières mises à jour, en mettant hors service les systèmes qui ne sont plus pris en charge, en modifiant les mots de passe administrateur par défaut ou réutilisés et en imposant l’authentification multifacteur pour les accès VPN et d’administration. L’agence conseille également d’activer PBKDF2 pour les comptes administrateur et d’exiger que tous les administrateurs se reconnectent.

L’agence a également rappelé aux organisations britanniques que son service Early Warning peut fournir des alertes concernant les activités malveillantes affectant leurs réseaux.