Intrusioni nei firewall Fortinet collegate ad attività ransomware e allo sfruttamento di Nextcloud

Secondo quanto riferito, gli aggressori associati alla cosiddetta attività FortiBleed stanno trasformando l’accesso non autorizzato ai firewall Fortinet in un profitto. Secondo il rapporto, gli operatori non si limitano più a entrare nelle reti su larga scala: ora stanno tentando di monetizzare tale accesso e sembrano collaborare con gruppi ransomware.

I gruppi citati in relazione a questa attività includono INC e Lynx, due marchi ransomware attivi nelle campagne recenti. Questo cambiamento suggerisce che le intrusioni nei firewall vengano utilizzate come punto di partenza per campagne di estorsione più ampie, anziché come compromissioni isolate. Una volta penetrati nei dispositivi perimetrali, gli attori delle minacce possono potenzialmente muoversi più in profondità negli ambienti presi di mira, raccogliere credenziali e individuare i sistemi di maggior valore.

Una vulnerabilità zero-day di Nextcloud aggrava il panorama delle minacce

Lo stesso rapporto afferma inoltre che gli aggressori stanno sfruttando una vulnerabilità zero-day distinta di Nextcloud. Questo sviluppo evidenzia un modello più ampio, in cui i criminali adottano rapidamente vulnerabilità appena divulgate o precedentemente sconosciute per ampliare la propria portata. Combinando l’accesso tramite dispositivi perimetrali con lo sfruttamento di vulnerabilità a livello applicativo, gli aggressori possono aumentare le probabilità di individuare organizzazioni esposte e aggirare le difese tradizionali.

Gli apparati Fortinet e le piattaforme di collaborazione come Nextcloud sono bersagli comuni perché spesso si trovano al centro dell’accesso aziendale. Quando uno dei due viene compromesso, l’impatto può essere significativo, soprattutto se gli amministratori non hanno ancora applicato gli aggiornamenti o verificato i log alla ricerca di attività insolite.

Cosa dovrebbero monitorare le organizzazioni

• Esaminare i log dei firewall Fortinet alla ricerca di segnali di accesso non autorizzato o modifiche alla configurazione.
• Applicare le patch ai sistemi Nextcloud non appena sono disponibili correzioni per eventuali vulnerabilità zero-day confermate.
• Verificare la presenza di attività di autenticazione insolite, nuovi account o connessioni remote impreviste.
• Segmentare i sistemi critici per limitare il raggio d’azione nel caso in cui un dispositivo perimetrale venga compromesso.

I team di sicurezza dovrebbero trattare le intrusioni nei dispositivi perimetrali come eventi urgenti, poiché possono fornire agli aggressori un percorso diretto verso le reti interne e, in alcuni casi, una via rapida alla distribuzione di ransomware.