FBI, FortiGate VPN yöneticilerini kilitleyen FortiBleed saldırılarının sürdüğünü söylüyor

FBI, açıkta kalan Fortinet FortiGate cihazlarında FortiBleed etkinliğinin devam ettiğini ve saldırganların meşru yöneticileri sistem dışına itebildiğini belirtiyor.

FBI’a göre FortiBleed faaliyeti hâlâ dışa açık Fortinet FortiGate firewall’larını ve SSL VPN gateway’lerini hedef alıyor; saldırganlar bu sistemlere sızdıktan sonra meşru yöneticilerin erişimini kilitliyor. Kurum, saldırganların açığa çıkmış ya da ele geçirilmiş kimlik bilgilerini kullanarak içeri girdiğini söylüyor.

FBI’ın aktardığı saldırı zinciri, sızdırılmış ya da ele geçirilmiş parolalarla başlayabiliyor; ardından başka kimlik doğrulama verilerinin çalınması, parola hash’lerinin çevrimdışı kırılması ve bazı vakalarda sahte administrator hesapları oluşturulması geliyor. Kurum, saldırganların bu yetkileri kullanarak mevcut admin hesaplarını silmek ya da parolalarını değiştirmek suretiyle mağdurları kendi cihazlarından uzaklaştırdığını da belirtiyor. FBI ayrıca FortiBleed’in bazı durumlarda ransomware ortakları için ilk giriş noktası olarak kullanıldığını söylüyor.

Kurum, sorunun yalnızca patch uygulamak ve parola sıfırlamakla çözülemeyebileceği uyarısında bulunuyor. Bu yüzden dış erişimi sınırlamayı, açık VPN oturumlarını sonlandırmayı, MFA’yı zorunlu kılmayı, logları incelemeyi ve admin parola depolaması için legacy SHA-256 yerine PBKDF2 kullanmayı öneriyor.