Fortinet advarer mot Zero-Day Exploit-målretting mot brannmurer med eksponerte grensesnitt

Cybersikkerhetsfirmaet Fortinet har slått alarm på en aktiv nulldagers sårbarhetskampanje rettet mot FortiGate-brannmurenheter med synlige administrasjonsgrensesnitt. Disse angrepene, tilskrevet ukjente trusselaktører, har forstyrret organisasjoner globalt og understreket den kritiske betydningen av å sikre utsatt infrastruktur.

Kampanjedetaljer: Hvordan angrepene utviklet seg

Den ondsinnede aktiviteten, som startet i midten av november 2024, utnytter en ennå ikke bestemt initial tilgangsvektor for å kompromittere grensesnittene for brannmuradministrasjon. Cybersikkerhetsforskere ved Arctic Wolf mener angriperne utnyttet en null-dagers sårbarhet, gitt den raske spredningen og fastvareversjonene som ble berørt. Enheter som kjører fastvareversjoner mellom 7.0.14 og 7.0.16 ble spesifikt målrettet.

Angriperne fulgte en kalkulert, fire-fase strategi:

1. Rekognosering og skanning – Identifisere sårbare enheter ved hjelp av automatiserte verktøy og uvanlige IP-er.
2. Konfigurasjonsmanipulasjon – Endring av utgangsinnstillinger for å hjelpe til med å samle intelligens.
3. Privilege-eskalering – Opprette superadmin-kontoer og endre eksisterende brukerkontoer.
4. Utnyttelse og innhenting av legitimasjon – Etablere SSL VPN-tunneler og trekke ut legitimasjon ved å bruke DCSync-teknikken for sideveis bevegelse.

Bruken av jsconsole -grensesnittet av angripere og VPN-tunneler fra vertsleverandører for virtuell privat server (VPS) var konsekvente indikatorer på kompromiss.

Fortinet bekrefter kritisk sårbarhet

Den 14. januar 2025 avslørte Fortinet detaljer om CVE-2024-55591, et kritisk sikkerhetsproblem som påvirker FortiOS og FortiProxy. Med en CVSS-score på 9,6 gjør denne feilen det mulig for angripere å få superadministratorrettigheter ved å utnytte Node.js WebSocket-modulen.

Berørte versjoner

• FortiOS : 7.0.0 til 7.0.16 (oppdatert i 7.0.17 og nyere)
• FortiProxy : 7.0.0 til 7.0.19 og 7.2.0 til 7.2.12 (patchet i henholdsvis 7.0.20 og 7.2.13)

Fortinet rådet kunder til å bruke oppdateringer umiddelbart og overvåke for mistenkelig aktivitet. Organisasjoner oppfordres til å begrense eksponeringen av administrasjonsgrensesnittet og begrense tilgangen til kun pålitelige brukere.

CISA Action: A Push for Mitigation

US Cybersecurity and Infrastructure Security Agency (CISA) har lagt til CVE-2024-55591 i sin katalog over kjente utnyttede sårbarheter (KEV). Føderale byråer må løse denne sårbarheten innen 21. januar 2025.

Avbøtende anbefalinger

Organisasjoner som bruker Fortinet-produkter bør ta følgende skritt for å redusere risikoen:

1. Oppdater fastvare – Bruk de nyeste oppdateringene for FortiOS og FortiProxy som spesifisert i Fortinets råd.
2. Begrens tilgang til administrasjonsgrensesnitt – Blokker offentlig tilgang til administrasjonsgrensesnitt og bruk VPN-er for ekstern administrasjon.
3. Overvåk logger – Se etter uvanlige pålogginger eller konfigurasjonsendringer som indikerer kompromiss.
4. Aktiver MFA – Håndhev multifaktorautentisering for alle administrative kontoer.

Opportunistisk målretting fremhever behovet for årvåkenhet

Kampanjens omfang og mangel på spesifikke offerprofiler tyder på opportunistisk målretting snarere enn bevisst valg. Automatisert påloggings-/utloggingsaktivitet og mangfoldig viktimologi forsterker behovet for robuste sikkerhetstiltak på tvers av organisasjoner i alle størrelser og sektorer.

Ettersom nulldagsangrep blir stadig mer sofistikerte, er det fortsatt avgjørende å sikre rettidig oppdatering, begrense eksponering og opprettholde nettverksvaktsomhet for forsvar mot trusler i utvikling.