Un grupo de actores de amenazas está llevando a cabo una campaña activa que se dirige a dispositivos FortiGate cuyas interfaces de administración están expuestas en la Internet pública. Esta actividad ha permitido inicios de sesión no autorizados, cambios de configuración no autorizados, creación de nuevas cuentas y realización de autenticaciones SSL VPN.
Actividad detectada por investigadores
Los investigadores han identificado que los atacantes están utilizando estas interfaces para realizar inicios de sesión administrativos no autorizados, así como otros cambios en la configuración. Además, se ha observado el uso de técnicas como DCSync para extraer credenciales.
La campaña fue detectada por primera vez a principios de diciembre cuando los investigadores de Arctic Wolf notaron actividad sospechosa en dispositivos FortiGate. Se identificó que las versiones afectadas oscilan entre FortiOS 7.0.0-7.0.16 y FortiProxy 7.0.0-7.2.12. Los atacantes han estado accediendo a estas interfaces para alterar configuraciones.
Vulnerabilidad de día cero posible
Aunque no se ha confirmado definitivamente, los investigadores sugieren que los atacantes podrían estar explotando una vulnerabilidad de día cero. La cronología y las versiones afectadas indican que podría tratarse de una falla aún no revelada.
Objetivo oportunista
Las víctimas de la campaña no representaban un sector específico ni un tamaño determinado de organización, lo cual sugiere que el objetivo era de naturaleza oportunista en lugar de ser deliberado y metódico.
Uso de interfaz jsconsole
Los investigadores destacaron que los atacantes hicieron uso extensivo de la interfaz jsconsole, accediendo desde direcciones IP inusuales. Esta característica permite a los administradores acceder a la interfaz de línea de comandos a través de una interfaz web.
Se observaron conexiones sospechosas desde estas direcciones IP al puerto TCP 8023 y al puerto TCP 9980, que se utilizan para funciones de estructura de seguridad y consultas API REST. Los cambios realizados a través de la consola CLI basada en web se registran como jsconsole, mientras que los hechos mediante SSH se enumeran como ssh.
Campaña dividida en cuatro fases
Los investigadores han dividido la campaña en cuatro fases: escaneo de vulnerabilidades, reconocimiento, configuración de VPN SSL y movimiento lateral. La actividad continúa y es posible que se descubra más información en el futuro.
El recuento total de inicios de sesión exitosos desde direcciones IP anómalas osciló entre varios cientos y miles de entradas por organización afectada, abarcando las cuatro fases. La mayoría de estas sesiones fue de corta duración, con eventos de cierre de sesión en segundos.
Recomendaciones para la seguridad
Los investigadores recomiendan que las organizaciones nunca expongan las interfaces de gestión de dispositivos Fortinet en Internet pública. El acceso a estas interfaces debe limitarse a usuarios internos de confianza o IP previamente autorizadas.
También se sugiere actualizar periódicamente el firmware para corregir cualquier falla u otro problema de seguridad. Además, la monitorización de syslog debe estar configurada en todos los dispositivos de firewall para aumentar la probabilidad de detectar actividad maliciosa.
Vulnerabilidad crítica confirmada por Fortinet
Fortinet ha confirmado una nueva vulnerabilidad crítica (CVE-2024-55591) en FortiOS y FortiProxy. Esta vulnerabilidad permite a un atacante remoto obtener privilegios de superadministrador mediante solicitudes al módulo websocket de Node.js.
La vulnerabilidad afecta las siguientes versiones:
- FortiOS 7.0.0 a 7.0.16 – Actualización a 7.0.17+
- FortiProxy 7.2.0 a 7.2.12 – Actualización a 7.2.13+
- FortiProxy 7.0.0 a 7.0.19 – Actualización a 7.0.20+
Se recomienda restringir el acceso a la interfaz de administración a redes internas confiables en todas las configuraciones, independientemente del proveedor.
Solución alternativa
Fortinet también proporcionó una solución alternativa: deshabilitar la interfaz administrativa HTTP/HTTPS o limitar el acceso por IP a la interface administrativa:
config firewall address
edit "my_allowed_addresses"
set subnetend