Un archivio con le credenziali funzionanti di decine di migliaia di firewall e VPN Fortinet FortiGate è saltato fuori da un server che gli stessi attaccanti avevano lasciato aperto. La campagna è stata chiamata FortiBleed. Al 19 giugno i dispositivi con credenziali verificate erano 86.644, in 194 Paesi. C’è qualcosa di quasi comico in un gruppo che ruba password a mezzo mondo e dimentica di proteggere la propria.
Il server, trovato da un ricercatore di sicurezza, conteneva il database delle credenziali insieme agli strumenti e agli script del gruppo, che i ricercatori ritengono di lingua russa. I numeri raccontano un lavoro paziente: circa 1,16 miliardi di tentativi di accesso contro oltre 320.000 dispositivi FortiGate. Il 35% delle credenziali riguarda account amministrativi generici e il 28% account di sistema predefiniti di Fortinet mai rinominati. Molte appartengono a utenti VPN, con nome utente, email e password in chiaro. Esperti indipendenti hanno confermato che sono reali, anche su dispositivi aggiornati di recente.
Nessuna falla nuova
Fortinet ha precisato che non c’è una nuova vulnerabilità. Gli attaccanti avrebbero riutilizzato credenziali sottratte in incidenti precedenti, tra cui quelli legati alle falle dell’accesso unico FortiCloud di dicembre e gennaio, e provato password deboli contro dispositivi senza autenticazione a più fattori. La conseguenza è scomoda: chi a gennaio ha aggiornato il firmware e si è sentito al sicuro non lo era. Una password rubata resta valida finché qualcuno non la cambia.
Le autorità statunitensi per la cybersicurezza hanno pubblicato un avviso con le misure da prendere subito. Quanti di quegli 86.644 dispositivi siano già stati usati per entrare in una rete, nessuno lo sa.
Comincia chiudendo tutte le sessioni attive di amministrazione e di VPN SSL sui tuoi FortiGate. Poi cambia tutte le password, quelle degli amministratori, degli utenti VPN e degli account locali, compresi i predefiniti, che vanno rinominati o disattivati. Un account chiamato «admin» è il primo nome che qualunque script prova.
Attiva l’autenticazione a più fattori per amministratori e utenti VPN, meglio se resistente al phishing. Verifica che le password degli amministratori siano salvate con l’algoritmo più robusto, PBKDF2, come raccomandano le autorità.
Infine limita l’interfaccia di gestione alle reti fidate e rileggi i log cercando accessi da indirizzi insoliti e account nati senza che nessuno li abbia creati.
