Dochodzenie ujawnia wyrafinowaną kampanię wymierzoną w setki tysięcy zapór sieciowych FortiGate, budzącą niepokój wśród organów rządowych, wykonawców z sektora obronnego oraz sieci korporacyjnych.
Rozległa kampania mająca na celu kradzież danych uwierzytelniających, która naraziła już na zagrożenie setki tysięcy urządzeń zabezpieczających podłączonych do Internetu na całym świecie, jawi się jako jedna z najpoważniejszych operacji cyberprzestępczych ujawnionych w ostatnich latach – wynika z najnowszych badań przeprowadzonych przez jednostkę SOCRadar Threat Research Unit (STRU).
Operacja ta, znana jako FortiBleed, była skierowana przeciwko ponad 430 000 zapór sieciowych FortiGate na całym świecie, co doprowadziło do zebrania ponad 110 milionów danych uwierzytelniających za pośrednictwem wysoce zorganizowanej infrastruktury zaprojektowanej w celu przechwytywania, łamania i monetyzacji danych uwierzytelniających przedsiębiorstw na dużą skalę.
Podczas gdy wcześniejsze doniesienia podkreślały bezprecedensowy zasięg tej kampanii, najnowszy raport STRU, zatytułowany „Dismantling FortiBleed”, przedstawia jak dotąd najbardziej kompleksowy obraz wewnętrznych mechanizmów działania tej operacji, jej infrastruktury oraz domniemanych operatorów. Wyniki badań kreślą obraz dojrzałego ekosystemu cyberprzestępczego, łączącego rozpoznanie na dużą skalę, kradzież danych uwierzytelniających, rozproszone łamanie haseł oraz szybkie wykorzystywanie luk po przejęciu kontroli.
Badacze ostrzegają, że kampania ta pozostaje aktywna i nadal stanowi poważne zagrożenie dla organizacji z wielu sektorów i regionów.
Śledztwo rozpoczęło się od czegoś, co wydawało się rutynowym odkryciem: odsłoniętego katalogu zidentyfikowanego przez badacza ds. cyberbezpieczeństwa Wołodymyra „Boba” Diachenko, znanego z wykrywania publicznie dostępnych baz danych i nieprawidłowo skonfigurowanej infrastruktury internetowej.
To, co nastąpiło potem, nie miało nic wspólnego z rutyną.
Wychodząc od tego pierwotnego odkrycia, badacze z STRU rzekomo prześledzili połączenia z ponad 150 dodatkowymi serwerami, stopniowo odtwarzając sieć systemów wykorzystywanych do koordynowania działań rozpoznawczych, gromadzenia danych uwierzytelniających, ich weryfikacji oraz operacji prowadzonych po przejęciu kontroli.
Uzyskane w ten sposób informacje zapewniły badaczom niezwykle szczegółowy obraz środowiska operacyjnego atakujących. W przeciwieństwie do wielu dochodzeń dotyczących cyberprzestępczości, które opierają się na fragmentarycznych wskaźnikach, analitykom udało się zmapować znaczną część infrastruktury i schematu działania przeciwnika.
Zgodnie z raportem sprawcy nadal aktywnie monitorują ponad 19 000 urządzeń, podczas gdy szerszy zbiór danych dotyczących celów zawiera ponad 80 000 zidentyfikowanych systemów FortiGate uznanych za wystarczająco wartościowe, by podlegały bieżącej obserwacji lub przyszłej eksploatacji.
Poziom wglądu uzyskany podczas śledztwa jest rzadkością i pozwala poznać zarówno taktyczne, jak i strategiczne procesy decyzyjne grupy przestępczej.
Kampania koncentruje się na zaporach sieciowych FortiGate – powszechnie wdrażanych urządzeniach zabezpieczających produkowanych przez firmę Fortinet i wykorzystywanych przez przedsiębiorstwa, agencje rządowe, organizacje opieki zdrowotnej, dostawców usług zarządzanych oraz operatorów infrastruktury krytycznej na całym świecie.
Ponieważ urządzenia te często pełnią rolę bram dostępu do sieci VPN, zdalnej administracji oraz łączności w sieci wewnętrznej, ich przejęcie może zapewnić atakującym wgląd w poufny ruch uwierzytelniający oraz dane uwierzytelniające o uprawnieniach uprzywilejowanych.
Urządzenia zabezpieczające obwód sieciowy stają się coraz bardziej atrakcyjnymi celami zarówno dla cyberprzestępców, jak i podmiotów działających w imieniu państw. W ostatnich latach luki w zabezpieczeniach urządzeń VPN, zapór sieciowych i platform bezpiecznego dostępu zdalnego wielokrotnie służyły jako punkty początkowego dostępu dla grup wykorzystujących oprogramowanie ransomware oraz w ramach kampanii szpiegowskich. Operacja FortiBleed stanowi ewolucję tego trendu.
Zamiast polegać wyłącznie na lukach w oprogramowaniu, operacja ta koncentruje się w dużej mierze na kradzieży danych uwierzytelniających i monitorowaniu procesu uwierzytelniania, co pozwala atakującym uzyskać dostęp przy jednoczesnym zminimalizowaniu śladów kryminalistycznych.
Badacze odtworzyli wyrafinowany, pięcioetapowy łańcuch ataku, który świadczy o poziomie dyscypliny operacyjnej kojarzonej raczej z profesjonalnymi organizacjami cyberprzestępczymi niż z hakerami działającymi oportunistycznie.
Faza pierwsza: Rozpoznanie na skalę przemysłową
Operacja rozpoczyna się od szeroko zakrojonego skanowania całego Internetu.
Według doniesień atakujący wykorzystują Masscan – szybki skaner sieciowy zdolny do zbadania ogromnej liczby systemów podłączonych do Internetu w krótkim czasie. Dane zebrane podczas tych skanowań są wzbogacane za pomocą niestandardowej platformy rozpoznawczej znanej jako Shodan_Recon, która wykorzystuje informacje z publicznych źródeł wywiadu internetowego.
Następnie wykorzystuje się autorskie narzędzie filtrujące, zidentyfikowane jako FortiProbe-fast, w celu oddzielenia legalnych systemów FortiGate od milionów surowych wyników skanowania.
Badacze znaleźli dowody na to, że cele są następnie klasyfikowane według priorytetów na podstawie cech organizacyjnych, w tym szacowanych rocznych przychodów i wielkości przedsiębiorstwa. Taka klasyfikacja sugeruje, że operacja ma na celu maksymalizację zysków finansowych, a nie tylko przejęcie kontroli nad jak największą liczbą urządzeń.
„Nie jest to skanowanie losowe” – sugeruje raport. „Jest to ukierunkowane działanie oparte na analizie biznesowej i planowaniu operacyjnym”.
Faza druga: Ataki na dane uwierzytelniające
Po zidentyfikowaniu obiecujących celów atakujący przechodzą do etapu uzyskania wstępnego dostępu.
W ramach kampanii stosowane są zarówno ataki metodą brute force na SSH, jak i techniki „credential stuffing” skierowane przeciwko interfejsom administracyjnym FortiGate oraz portalom SSL-VPN.
Badacze odkryli co najmniej 16 wyspecjalizowanych słowników haseł dostosowanych specjalnie do wdrożeń FortiGate. Listy te zawierają popularne konwencje nazewnictwa administratorów, wzorce organizacyjne oraz dane uwierzytelniające często spotykane w środowiskach korporacyjnych.
Podejście to odzwierciedla szerszą tendencję wśród grup cyberprzestępczych do stosowania ataków opartych na danych uwierzytelniających, które często generują mniej alertów niż próby wykorzystania znanych luk w zabezpieczeniach.
Faza trzecia: Pasywne gromadzenie danych uwierzytelniających
Sercem FortiBleed jest niestandardowe narzędzie oparte na języku Golang, znane jako FortigateSniffer.
W odróżnieniu od tradycyjnego złośliwego oprogramowania narzędzie to, jak się podaje, wykorzystuje legalne polecenie administracyjne systemu FortiOS — „diagnose sniffer packet” — do monitorowania ruchu sieciowego przechodzącego przez zainfekowane urządzenia.
Badacze twierdzą, że narzędzie przechwytuje ruch związany z uwierzytelnianiem z co najmniej 24 protokołów korporacyjnych, w tym:
- Kerberos
- NTLM
- LDAP
- RADIUS
- MSSQL
- Protokół zdalnego pulpitu (RDP)
- Usługi uwierzytelniania SMB
- Inne protokoły korporacyjnego zarządzania tożsamością i dostępem
Ponieważ technika ta opiera się na natywnej funkcjonalności systemu, a nie na złośliwych plikach binarnych, jej wykrycie staje się znacznie trudniejsze.
Jednym ze szczególnie godnych uwagi szczegółów operacyjnych był czas działania.
Zgodnie z raportem proces gromadzenia danych uwierzytelniających zazwyczaj odbywa się wyłącznie w godzinach od 07:00 do 18:00 czasu moskiewskiego. Naukowcy uważają, że taki harmonogram miał na celu wtopienie działań związanych z pozyskiwaniem danych uwierzytelniających w normalne godziny pracy przedsiębiorstwa oraz zmniejszenie prawdopodobieństwa wykrycia.
Takie oparte na czasie mechanizmy operacyjne stają się coraz powszechniejsze wśród zaawansowanych podmiotów stanowiących zagrożenie, które starają się uniknąć uruchomienia systemów monitorowania opartych na wykrywaniu anomalii.
Faza czwarta: Rozproszone łamanie haseł
Po przechwyceniu danych uwierzytelniających operacja przechodzi w fazę łamania haseł na dużą skalę.
Badacze zidentyfikowali wykorzystanie Hashtopolis, otwartej platformy do zarządzania rozproszonego, która koordynuje zadania związane z łamaniem haseł w wielu systemach.
Atakujący wykorzystują Hashcat, jedno z najpotężniejszych na świecie narzędzi do odzyskiwania haseł, do przeprowadzania operacji łamania haseł w trybie offline na przechwyconych skrótach.
Infrastruktura ta obejmuje podobno dedykowane klastry procesorów graficznych (GPU), a także wynajęte zasoby obliczeniowe pozyskane za pośrednictwem platform chmurowych oferujących zasoby GPU, takich jak vast.ai, co pozwala sprawcom na dynamiczne skalowanie operacji.
Badacze odkryli również interfejs zarządzania oparty na aplikacji Telegram, który dostarcza w czasie rzeczywistym dane telemetryczne dotyczące operacji oraz aktualizacje statusu na jedno, zakodowane na stałe konto administratora, zapewniając scentralizowany nadzór nad trwającymi działaniami łamania haseł.
Taka konfiguracja odzwierciedla poziom automatyzacji i alokacji zasobów, który częściej spotyka się w komercyjnych środowiskach obliczeniowych niż w tradycyjnych operacjach cyberprzestępczych.
Faza piąta: Wykorzystanie i ruch boczny
Ostatni etap skupia się na monetyzacji uzyskanego dostępu.
Po pomyślnym złamaniu danych uwierzytelniających atakujący szybko przystępują do wykorzystania nowo uzyskanego dostępu.
Badacze udokumentowali dowody na ruch boczny w środowiskach Active Directory, działania związane z eskalacją uprawnień oraz ukierunkowane gromadzenie wrażliwych danych przedsiębiorstwa.
W jednym z potwierdzonych incydentów wykonawca z branży obronnej powiązany z NATO padł ofiarą kradzieży danych wkrótce po tym, jak atakujący odzyskali dane uwierzytelniające Kerberos.
Zgodnie z raportem przejście od odzyskania danych uwierzytelniających do wykorzystania w celach operacyjnych nastąpiło w ciągu kilku minut, co podkreśla wysoce zautomatyzowany charakter tej kampanii.
Według doniesień atakujący skupili się na wykradzeniu repozytoriów kopii zapasowych Distributed File System (DFS) oraz innych zasobów danych o dużej wartości, zanim obrońcy zdążyli zareagować.
Infrastruktura sprawców ataku wykazuje znaczną dojrzałość operacyjną.
Zamiast opierać się na niewielkiej liczbie scentralizowanych serwerów, FortiBleed działa w ramach architektury rozproszonej, hostowanej u wielu dostawców z Europy Wschodniej, podlegających ograniczonemu nadzorowi regulacyjnemu.
Badacze zidentyfikowali infrastrukturę podzieloną na wyspecjalizowane zakresy podsieci odpowiedzialne za:
- Agregację poleceń i kontroli
- Weryfikację danych uwierzytelniających
- Wdrażanie snifferów
- Rotację serwerów proxy
- Zarządzanie operacyjne
Atakujący utrzymywali również dedykowane środowisko laboratoryjne składające się z wielu maszyn wirtualnych z systemem Kali Linux działających w ramach wirtualizacji QEMU/KVM.
Środki bezpieczeństwa w tym środowisku obejmowały ścisłą segmentację zapory sieciowej oraz współdzielone sesje terminalowe, umożliwiające wielu operatorom jednoczesną koordynację działań.
Taka konstrukcja wskazuje na organizację zdolną do prowadzenia długoterminowych operacji przy jednoczesnym minimalizowaniu ryzyka ujawnienia w przypadku wykrycia lub przejęcia części infrastruktury.
Chociaż badacze nie posunęli się do sformułowania ostatecznej oceny odpowiedzialności, wiele wskazówek wskazuje na operatorów posługujących się językiem rosyjskim.
Do najsilniejszych wskazówek należały artefakty programistyczne zawierające komentarze w cyrylicy oraz wzorce działania zgodne z ekosystemami cyberprzestępczymi z Europy Wschodniej.
Analitycy charakteryzują tę grupę przede wszystkim jako pośrednika w uzyskiwaniu wstępnego dostępu (Initial Access Broker, IAB) – kategorię cyberprzestępców specjalizujących się w zdobywaniu dostępu do sieci i odsprzedawaniu go innym podmiotom stanowiącym zagrożenie.
Pośrednicy IAB stają się coraz ważniejszymi graczami w gospodarce cyberprzestępczości, często pełniąc rolę dostawców dla grup wykorzystujących oprogramowanie ransomware, zespołów zajmujących się wymuszeniami na danych oraz grup hakerskich działających z motywów finansowych.
Jednak obecność wśród potwierdzonych ofiar wykonawcy z branży obronnej powiązanego z NATO rodzi dodatkowe pytania.
Chociaż badacze nie znaleźli bezpośrednich dowodów łączących tę kampanię z rosyjskimi służbami wywiadowczymi, zauważają, że nakładanie się ekosystemów przestępczych i powiązanych z państwem pozostaje stałym wyzwaniem w zakresie przypisywania odpowiedzialności za cyberataki.
W kilku udokumentowanych przypadkach z ostatniej dekady infrastruktura i możliwości cyberprzestępcze były wykorzystywane w sposób oportunistyczny przez podmioty powiązane z państwem, realizujące cele geopolityczne.
Jednym z najbardziej uderzających wniosków płynących z raportu są dane demograficzne dotyczące ofiar.
Około 66 procent zidentyfikowanych ofiar zatrudnia mniej niż 200 osób, a prawie 90 procent osiąga roczne przychody poniżej 100 milionów dolarów.
Dane sugerują, że atakujący celują w organizacje, które często nie dysponują dedykowanymi centrami operacji bezpieczeństwa, zaawansowanymi możliwościami monitorowania ani dopracowanymi programami reagowania na incydenty.
Pod względem geograficznym ofiary są rozproszone na całym świecie, choć badacze zaobserwowali szczególnie wysokie skupiska w:
- Indii
- Stanach Zjednoczonych
- Tajwanie
Łącznie kraje te stanowią prawie jedną trzecią wszystkich dotkniętych atakami domen.
Analiza sektorowa wykazała, że dostawcy usług IT oraz dostawcy usług zarządzanych należą do branż najczęściej atakowanych.
Organizacje te stanowią atrakcyjne cele, ponieważ pojedyncze naruszenie bezpieczeństwa może potencjalnie zapewnić dostęp do dziesiątek, a nawet setek klientów końcowych.
Ten model naruszenia typu „jeden do wielu” stał się ulubioną taktyką zarówno wśród operatorów oprogramowania ransomware, jak i pośredników dostępu dążących do uzyskania maksymalnego zwrotu z inwestycji.
Pojawienie się luki FortiBleed podkreśla szerszy trend w cyberprzestępczości: industrializację kradzieży danych uwierzytelniających.
Zamiast polegać na wyrafinowanych exploitach typu zero-day, wielu współczesnych cyberprzestępców coraz częściej skupia się na atakach opartych na tożsamości, zdając sobie sprawę, że ważne dane uwierzytelniające często pozwalają ominąć zabezpieczenia zaprojektowane w celu powstrzymania złośliwego oprogramowania i prób wykorzystania luk.
Kampania ta podkreśla również rosnące znaczenie zabezpieczenia infrastruktury uwierzytelniającej i systemów zdalnego dostępu, zwłaszcza że hybrydowe środowiska pracy wciąż poszerzają powierzchnię ataku dostępną dla przeciwników.
Organizacje powinny postrzegać operacje kradzieży danych uwierzytelniających jako zagrożenia strategiczne, a nie jako pojedyncze incydenty.
Gdy dane uwierzytelniające zostaną naruszone, atakujący mogą poruszać się w sieci, zapewnić sobie trwałą obecność, wykradać poufne informacje oraz ułatwiać przeprowadzanie ataków wtórnych, od wdrażania oprogramowania ransomware po szpiegostwo.
Organizacje potencjalnie narażone na lukę FortiBleed powinny podjąć natychmiastowe działania.
Najważniejsze działania zaradcze obejmują:
- Zmianę wszystkich danych uwierzytelniających do sieci VPN i kont administracyjnych firmy Fortinet
- Wprowadzenie uwierzytelniania wieloskładnikowego we wszystkich usługach zdalnego dostępu
- Ograniczenie ekspozycji interfejsów zarządzania na Internet
- Przegląd dzienników uwierzytelniania pod kątem podejrzanej aktywności
- Monitorowanie nietypowych wzorców uwierzytelniania Kerberos i VPN
- Przeprowadzenie oceny stanu bezpieczeństwa danych uwierzytelniających w środowiskach Active Directory
- Badanie oznak ruchu bocznego lub nieautoryzowanego podwyższenia uprawnień
Ponieważ kampania nadal trwa, a jej infrastruktura nadal działa, zespoły ds. bezpieczeństwa są zachęcane do zakładania, że doszło do naruszenia bezpieczeństwa w przypadkach, w których wskaźniki sugerują narażenie.
W miarę jak ataki skupiające się na danych uwierzytelniających wciąż ewoluują, FortiBleed stanowi dobitne przypomnienie, że najbardziej szkodliwe operacje cybernetyczne to nie zawsze te wykorzystujące luki w oprogramowaniu. Coraz częściej są to te, które po cichu zbierają cyfrowe tożsamości, na których organizacje polegają na co dzień.
