L’agence américaine de cybersécurité, la CISA, a exhorté les clients de Fortinet à sécuriser leurs équipements. Cet avertissement fait suite à la diffusion publique d’environ 74 000 identifiants d’accès à des pare-feu et des VPN de la marque, lors d’une fuite de données surnommée « FortiBleed ».
Selon la CISA, des cybercriminels ont déjà utilisé ces identifiants compromis pour cibler des appareils Fortinet accessibles sur internet. Ces cibles appartenaient à des organisations gouvernementales et du secteur privé dans le monde entier.
L’agence a demandé aux propriétaires concernés de prendre plusieurs mesures urgentes. Ils doivent fermer toutes les sessions administratives et de VPN SSL. Il leur faut aussi réinitialiser tous les mots de passe d’administration et de VPN, et activer une authentification multifactorielle résistante au phishing. La CISA recommande enfin d’examiner les journaux d’activité à la recherche de signes d’accès non autorisés.
Pour renforcer la sécurité à long terme, les administrateurs doivent aussi stocker les identifiants avec l’algorithme moderne de hachage PBKDF2. Il est crucial de restreindre l’accès aux interfaces de gestion du pare-feu depuis l’internet public et de supprimer tous les comptes non autorisés.
Les données de plus de 73 000 pare-feu divulguées
La fuite FortiBleed a été découverte par le chercheur en sécurité Volodymyr « Bob » Diachenko. Il a trouvé un serveur qui contenait des identifiants de VPN Fortinet qui semblaient valides. Ces données incluaient des noms d’utilisateur, des adresses e-mail et des mots de passe en clair pour 73 932 URL de pare-feu dans le monde.
L’ensemble des données divulguées comprenait également le secteur d’activité, le chiffre d’affaires et le nombre d’employés de chaque organisation. D’après Diachenko, ces informations supplémentaires semblent avoir été compilées pour faciliter la planification de futures attaques.
La société de renseignement sur les menaces Hudson Rock, qui a aussi analysé ces données, les décrit comme l’une des plus grandes collections connues d’identifiants Fortinet compromis. Elle couvre 21 632 domaines uniques et 194 pays.
Parmi les organisations présentes dans cet ensemble se trouvent Samsung, Mercedes-Benz, Foxconn, Chevron, Comcast, AT&T et Toyota. De nombreuses agences gouvernementales et opérateurs d’infrastructures critiques dans les secteurs des télécommunications, de la santé, des services financiers et de la fabrication sont aussi concernés.
Les pays avec le plus grand nombre d’appareils affectés sont l’Inde, les États-Unis, Taïwan, le Mexique, la Turquie, la Thaïlande, la Colombie, la Malaisie, le Chili et les Émirats arabes unis.
Une fuite liée à un groupe de menace russophone
Volodymyr Diachenko a également indiqué que cette opération serait l’œuvre d’un groupe de menace russophone. Ce groupe aurait effectué environ 1,16 milliard de tentatives d’authentification contre plus de 320 000 cibles FortiGate. Le but était d’intercepter les hachages d’authentification des VPN SSL. L’origine exacte de ces données de configuration reste inconnue.
L’expert en cybersécurité Kevin Beaumont a confirmé de manière indépendante l’authenticité de certains de ces identifiants. Il a noté que la plupart des appareils compromis étaient toujours en ligne.
Il a déclaré que les données étaient légitimes et qu’elles concernaient environ 75 000 appareils. Il a ajouté que ces informations divulguées semblaient provenir de fichiers de configuration Fortinet. Cependant, la méthode exacte de l’exfiltration n’est pas claire. Elle pourrait résulter de l’exploitation d’une faille de sécurité précédemment divulguée, d’une nouvelle vulnérabilité ou d’une autre technique.
Hudson Rock a créé un outil de recherche gratuit pour aider les organisations à vérifier si elles sont affectées par FortiBleed.
Par ailleurs, la société de renseignement sur les menaces Defused a signalé que plusieurs vulnérabilités critiques de la plateforme de détection de cybermenaces FortiSandbox de Fortinet sont désormais exploitées dans des attaques. Au total, la CISA suit 26 failles de sécurité Fortinet qui ont été exploitées ces dernières années, dont 13 ont été utilisées dans des attaques par ransomware.