L’attività di FortiBleed collegata sia a INC Ransom sia a Lynx, secondo i ricercatori

I ricercatori affermano che la campagna FortiBleed del mese scorso è più strettamente connessa all’ecosistema ransomware di quanto ritenuto inizialmente, dopo aver trovato prove del fatto che un operatore sembra aver utilizzato l’accesso fornito dagli affiliati sia per INC Ransom sia per Lynx.

L’unità Threat Research di SOC Radar ha dichiarato di aver trascorso settimane a mappare l’infrastruttura associata alla campagna, scoprendo i log di un server rimasto esposto a causa di un errore operativo. Secondo quanto riportato, quei dati mostravano che un membro del gruppo di broker dell’accesso iniziale aveva effettuato l’accesso a entrambi i pannelli degli affiliati ransomware, suggerendo un collegamento diretto tra l’accesso sottratto ai dispositivi FortiGate e le successive attività di estorsione.

Le prove indicano un passaggio verso il ransomware

Secondo i ricercatori, l’attività di accesso condivisa è finora il segnale più evidente del fatto che FortiBleed non fosse una semplice operazione di furto di credenziali, ma facesse parte della filiera che fornisce ai gruppi ransomware l’accesso alle reti delle vittime. Il team ha affermato di aver finora collegato almeno 12 incidenti ransomware a organizzazioni colpite da FortiBleed.

SOC Radar ha inoltre dichiarato che la campagna complessiva era più estesa di quanto suggerissero i primi conteggi degli attacchi. La sua analisi ha riguardato 11.250 portali Fortinet, sebbene siano stati presumibilmente presi di mira più di 430.000 firewall. Di questi, i ricercatori hanno confermato l’accesso a livello amministrativo su 409 sistemi. Su 354 di questi, gli aggressori avrebbero completato l’intera catena d’intrusione, compresa la compromissione delle VPN, l’accesso alla rete interna e il raggiungimento dei controller di dominio e degli account di amministratore di dominio.

Come ha funzionato la campagna

FortiBleed è stato divulgato il 17 giugno e non è stato descritto come una nuova vulnerabilità del software. Gli investigatori hanno invece affermato che gli aggressori hanno intercettato il materiale di autenticazione delle VPN SSL e successivamente violato gli hash acquisiti utilizzando un’ampia infrastruttura GPU gestita tramite Hashtopolis. Una volta recuperate le credenziali, gli operatori potevano accedere agli ambienti Active Directory delle vittime e mantenere la persistenza.

Fortinet aveva precedentemente introdotto PBKDF2 per la memorizzazione delle credenziali, ma la modifica diventava effettiva solo dopo che gli amministratori effettuavano nuovamente l’accesso. Di conseguenza, alcune organizzazioni potrebbero fare ancora affidamento su una memorizzazione basata su SHA-256 con salt, più esposta agli attacchi brute-force.

Le prime notizie sulla campagna suggerivano che fossero stati colpiti con successo più di 73.000 URL univoci di firewall, mentre in seguito un lungo elenco di grandi aziende è comparso nelle discussioni pubbliche sull’incidente.

Per i responsabili della difesa, le ultime scoperte confermano che l’esposizione di FortiGate può trasformarsi rapidamente in un rischio ransomware più ampio, soprattutto quando l’accesso sottratto viene rivenduto o riutilizzato da più gruppi criminali.