Recientemente se ha detectado que la operación de ransomware Qilin, también conocida como Agenda, está utilizando dos vulnerabilidades de Fortinet para realizar ataques que permiten eludir la autenticación en dispositivos afectados y ejecutar código malicioso de forma remota.
Vulnerabilidades explotadas por grupos de amenazas
Estas vulnerabilidades se han utilizado con frecuencia como vulnerabilidades de día cero en campañas de ciberespionaje, permitiendo a los actores de amenazas acceder a redes corporativas y realizar ataques de ransomware. Qilin surgió en agosto de 2022 como una operación de ransomware como servicio (RaaS) bajo el nombre «Agenda».
Victimas destacadas
La lista de víctimas incluye organizaciones de alto perfil, entre ellas el gigante automotriz Yangfeng, el editorial Lee Enterprises, los servicios judiciales de Australia (Court Services Victoria) y la empresa de patología Synnovis. El incidente en Synnovis afectó a varios hospitales importantes del NHS en Londres, lo que provocó la cancelación de cientos de citas y operaciones.
Ataques automatizados dirigidos a vulnerabilidades de Fortinet
La empresa de inteligencia de amenazas Prodaft detectó estos nuevos ataques de ransomware Qilin, parcialmente automatizados, que se dirigen a varias vulnerabilidades de Fortinet. Los actores de amenaza se están centrando actualmente en organizaciones de países hispanohablantes, pero prevén que la campaña se expanda a nivel mundial.
Vulnerabilidades específicas explotadas
Una de las vulnerabilidades explotadas en esta campaña es CVE-2024-55591. Esta también fue utilizada como vulnerabilidad Zero-Day por otros grupos de amenazas para vulnerar los firewalls de FortiGate desde noviembre de 2024. El operador del ransomware Mora_001 la utilizó para implementar la variante de ransomware SuperBlack, vinculada a la banda de ciberdelincuentes LockBit.
Segundo ataque contra Fortinet
La segunda vulnerabilidad explotada en estos ataques de ransomware Qilin es CVE-2024-21762, que fue parcheada en febrero. La CISA la añadió a su catálogo de vulnerabilidades de seguridad explotadas activamente y ordenó a las agencias federales que protegieran sus dispositivos FortiOS y FortiProxy antes del 16 de febrero.
Dispositivos aún vulnerables
Casi un mes después, la Fundación Shadowserver anunció que había descubierto que casi 150.000 dispositivos seguían siendo vulnerables a los ataques CVE-2024-21762.
Historial de explotaciones previas
En febrero, Fortinet reveló que el grupo chino Volt Typhoon utilizó dos vulnerabilidades de VPN SSL de FortiOS (CVE-2022-42475 y CVE-2023-27997) para implementar el malware troyano de acceso remoto (RAT) personalizado Coathanger, que previamente se había utilizado para crear una puerta trasera en una red militar del Ministerio de Defensa neerlandés.