ผู้โจมตีทางไซเบอร์ดำเนินการโจมตีอุปกรณ์ Fortinet ต่อไป

ในช่วงต้นเดือนมีนาคม ลูกค้าโทรหาทีมตอบสนองเหตุการณ์ของ Fortinet เมื่ออุปกรณ์รักษาความปลอดภัย FortiGate หลายเครื่องหยุดทำงาน และเข้าสู่โหมดข้อผิดพลาดหลังจากที่เฟิร์มแวร์ไม่ผ่านการทดสอบความสมบูรณ์ด้วยตนเอง

เป็นการโจมตีทางไซเบอร์ซึ่งนำไปสู่การค้นพบช่องโหว่ล่าสุดในอุปกรณ์ Fortinet ซึ่งเป็นข้อบกพร่องที่มีความรุนแรงปานกลางแต่สามารถใช้ประโยชน์ได้สูง (CVE-2022-41328) ที่อนุญาตให้ผู้โจมตีที่มีสิทธิพิเศษสามารถอ่านและเขียนไฟล์ได้ กลุ่มภัยคุกคามซึ่ง Fortinet ระบุว่าเป็น "นักแสดงขั้นสูง" ดูเหมือนจะกำหนดเป้าหมายหน่วยงานรัฐบาลหรือองค์กรที่เกี่ยวข้องกับรัฐบาล บริษัทระบุใน การวิเคราะห์การโจมตีครั้งล่าสุด.

เหตุการณ์ยังแสดงให้เห็นว่าผู้โจมตีให้ความสนใจกับอุปกรณ์ Fortinet อย่างมาก และพื้นผิวการโจมตีก็กว้าง: จนถึงปีนี้ ช่องโหว่ 60 รายการในผลิตภัณฑ์ Fortinet ได้รับการกำหนด CVE แล้ว และเผยแพร่ใน National Vulnerability Database ซึ่งเพิ่มอัตราการเปิดเผยข้อบกพร่องในอุปกรณ์ Fortinet เป็นสองเท่าในปี 2021 ที่มีจุดสูงสุดก่อนหน้านี้ จำนวนมากก็มีความสำคัญเช่นกัน เมื่อต้นเดือนนี้ Fortinet เปิดเผยว่าบัฟเฟอร์ที่สำคัญรับประกันช่องโหว่ใน FortiOS และ FortiProxy (CVE-2023-25610) อาจทำให้ผู้โจมตีที่ไม่ได้รับการตรวจสอบสิทธิ์จากระยะไกลสามารถรันโค้ดบนอุปกรณ์ต่างๆ ได้

ดอกเบี้ยก็สูงตามไปด้วย ตัวอย่างเช่น ในเดือนพฤศจิกายน บริษัทรักษาความปลอดภัยแห่งหนึ่งเตือนว่ากลุ่มอาชญากรไซเบอร์ กำลังขายการเข้าถึงเพื่อประนีประนอมอุปกรณ์ FortiOS ในฟอรัม Russian Dark Web แต่ไม่ว่าช่องโหว่จะกระตุ้นความสนใจหรือกลับกันก็เป็นเรื่องที่น่าสงสัย David Maynor ผู้อำนวยการอาวุโสฝ่ายข่าวกรองภัยคุกคามของ Cybrary บริษัทฝึกอบรมด้านความปลอดภัยกล่าว

“ผู้โจมตีได้กลิ่นเลือดในน้ำ” เขากล่าว “จำนวนและความถี่ของช่องโหว่ที่โจมตีจากระยะไกลได้เพิ่มขึ้นอย่างรวดเร็วในช่วงสองปีที่ผ่านมา หากมีกลุ่มรัฐชาติที่ไม่รวมการหาประโยชน์จาก Fortinet พวกเขากำลังง่วนอยู่กับงาน”

เช่นเดียวกับอุปกรณ์รักษาความปลอดภัยเครือข่ายอื่นๆ อุปกรณ์ Fortinet อยู่ในจุดวิกฤตระหว่างอินเทอร์เน็ตและเครือข่ายภายในหรือแอปพลิเคชัน ทำให้เป็นเป้าหมายที่มีคุณค่าในการประนีประนอมสำหรับผู้โจมตีที่มองหาฐานในเครือข่ายองค์กร ทีมวิจัยจาก GreyNoise Research บริษัทข่าวกรองภัยคุกคามกล่าวใน อีเมลสัมภาษณ์กับ Dark Reading

“อุปกรณ์ Fortinet ส่วนใหญ่เป็นอุปกรณ์ Edge และผลที่ตามมาคือโดยทั่วไปแล้วมักจะเชื่อมต่อกับอินเทอร์เน็ต” ทีมงานกล่าว “นี่เป็นความจริงสำหรับอุปกรณ์ขอบทั้งหมด หากผู้โจมตีใช้ความพยายามในการรณรงค์หาประโยชน์ ปริมาณของอุปกรณ์เอดจ์จะทำให้เป็นเป้าหมายที่มีค่า”

นักวิจัยยังเตือนด้วยว่า Fortinet ไม่น่าจะอยู่คนเดียวในเป้าเล็งของผู้โจมตี

GreyNoise Research กล่าวว่า “อุปกรณ์ Edge ทั้งหมดจากผู้ขายทุกรายจะมีช่องโหว่ไม่ช้าก็เร็ว” GreyNoise Research กล่าว

รายละเอียดการโจมตีของ Fortinet

Fortinet ได้อธิบายถึงการโจมตีอุปกรณ์ของลูกค้าโดยละเอียดในคำแนะนำ ผู้โจมตีใช้ช่องโหว่นี้เพื่อแก้ไขเฟิร์มแวร์ของอุปกรณ์และเพิ่มไฟล์เฟิร์มแวร์ใหม่ ผู้โจมตีสามารถเข้าถึงอุปกรณ์ FortiGate ผ่านซอฟต์แวร์ FortiManager และแก้ไขสคริปต์เริ่มต้นของอุปกรณ์เพื่อรักษาความคงอยู่

เฟิร์มแวร์ที่เป็นอันตรายอาจอนุญาตให้มีการกรองข้อมูล อ่านและเขียนไฟล์ หรือให้เชลล์ระยะไกลแก่ผู้โจมตี ทั้งนี้ขึ้นอยู่กับคำสั่งที่ซอฟต์แวร์ได้รับจากเซิร์ฟเวอร์ command-and-control (C2) Fortinet กล่าว ไฟล์อื่นมากกว่าครึ่งโหลถูกแก้ไขเช่นกัน

อย่างไรก็ตาม การวิเคราะห์เหตุการณ์ยังขาดข้อมูลที่สำคัญหลายประการ เช่น วิธีการที่ผู้โจมตีได้รับสิทธิพิเศษในการเข้าถึงซอฟต์แวร์ FortiManager และวันที่ของการโจมตี ท่ามกลางรายละเอียดอื่นๆ 

เมื่อได้รับการติดต่อ บริษัทได้ออกแถลงการณ์เพื่อตอบสนองต่อคำขอสัมภาษณ์: "เราเผยแพร่ คำแนะนำ PSIRT (FG-IR-22-369) เมื่อวันที่ 7 มีนาคม รายละเอียดแนะนำขั้นตอนต่อไปเกี่ยวกับ CVE-2022-41328” บริษัทกล่าว “ในฐานะที่เป็นส่วนหนึ่งของความมุ่งมั่นอย่างต่อเนื่องของเราในการรักษาความปลอดภัยของลูกค้าของเรา Fortinet ได้แบ่งปันรายละเอียดและการวิเคราะห์เพิ่มเติมใน บล็อกโพสต์วันที่ 9 มีนาคม และแนะนำลูกค้าให้ปฏิบัติตามคำแนะนำที่ให้ไว้ต่อไป”

โดยรวมแล้ว ด้วยการค้นหาและเปิดเผยช่องโหว่และเผยแพร่การวิเคราะห์การตอบสนองต่อเหตุการณ์ Fortinet กำลังทำในสิ่งที่ถูกต้อง ทีมวิจัย GreyNoise กล่าวกับ Dark Reading

“พวกเขาเผยแพร่บทวิเคราะห์โดยละเอียดในอีกสองวันต่อมา รวมถึงบทสรุปสำหรับผู้บริหาร ตลอดจนรายละเอียดที่ถูกต้องแม่นยำจำนวนมาก [จำนวน] เกี่ยวกับธรรมชาติของช่องโหว่และกิจกรรมของผู้โจมตี ซึ่งให้ข้อมูลข่าวกรองที่สามารถดำเนินการได้แก่ฝ่ายป้องกัน” ทีมงานระบุ . “Fortinet เลือกที่จะสื่อสารเกี่ยวกับช่องโหว่นี้อย่างชัดเจน ทันท่วงที และแม่นยำ”

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/vulnerabilities-threats/cyberattackers-continue-assault-against-fortinet-devices