L’NCSC mette in guardia le organizzazioni dopo una campagna globale contro firewall e gateway VPN Fortinet

Il National Cyber Security Centre (NCSC) del Regno Unito ha pubblicato nuove indicazioni dopo che i prodotti firewall e VPN di Fortinet sono stati coinvolti in una campagna di attacchi globale che potrebbe aver colpito anche alcune organizzazioni nel Regno Unito.

Secondo l’agenzia, gli aggressori sembrano aver utilizzato tentativi di forza bruta, attacchi a dizionario e credential stuffing contro i portali FortiGate e VPN esposti su Internet. In alcuni casi, secondo quanto riferito, un database di credenziali sarebbe stato divulgato da un attore malevolo dopo questi tentativi. Il credential stuffing consiste nel provare combinazioni di nome utente e password sottratte da altri servizi, confidando nel fatto che gli utenti abbiano riutilizzato le stesse credenziali di accesso altrove.

Chi potrebbe essere interessato

L’avviso riguarda le organizzazioni che utilizzano dispositivi edge Fortinet, in particolare quelle con SSL VPN abilitata ed esposta a Internet. L’NCSC afferma che queste organizzazioni dovrebbero verificare se sono state esposte e cercare segnali che indichino la compromissione dei dispositivi.

• Utilizzare un asset checker FortiBleed, come gli strumenti forniti da SOCRadar o Hudson Rock, per verificare se uno dei propri domini compare negli elenchi di allerta iniziale.
• Confermare che il dispositivo esista, sia sotto il proprio controllo e sia raggiungibile da Internet.
• Esaminare i log e cercare indicatori di compromissione, tra cui la creazione non autorizzata di account o altre attività insolite.
• Se si sospetta una compromissione, rimuovere il dispositivo sia da Internet sia dalla rete interna.

Risposta consigliata

L’NCSC afferma che le organizzazioni interessate dovrebbero valutare un ripristino completo delle impostazioni di fabbrica del dispositivo, invece di affidarsi soltanto alla modifica delle password, poiché gli aggressori potrebbero aver stabilito meccanismi di persistenza. Prima del ripristino, i team dovrebbero conservare log, configurazioni e qualsiasi altro artefatto utile all’indagine.

Alle organizzazioni viene inoltre chiesto di esaminare gli altri dispositivi edge che potrebbero condividere le credenziali e di verificare i sistemi che potrebbero essere stati raggiunti dal dispositivo interessato. Si consiglia di monitorare i log del firewall alla ricerca di segnali di movimento laterale, così da confermare che l’incidente non si sia propagato ulteriormente.

Dopo la rimessa in servizio, l’NCSC raccomanda di rafforzare l’ambiente rimuovendo l’esposizione a Internet dalle interfacce di gestione, applicando gli aggiornamenti più recenti, dismettendo i sistemi non supportati, modificando le password predefinite o riutilizzate degli amministratori e imponendo l’autenticazione a più fattori per l’accesso VPN e alla gestione. L’agenzia consiglia inoltre di abilitare PBKDF2 per gli account amministratore e di richiedere a tutti gli amministratori di effettuare nuovamente l’accesso.

L’agenzia ha inoltre ricordato alle organizzazioni del Regno Unito che il suo servizio Early Warning può fornire avvisi sulle attività malevole che interessano le loro reti.