Kebocoran FortiBleed mengekspos kredensial VPN Fortinet dan FortiGate untuk lebih dari 73.000 perangkat
Kebocoran FortiBleed mengungkap puluhan ribu kredensial VPN
Sebuah kebocoran data yang baru ditemukan dan disebut "FortiBleed" telah mengekspos apa yang tampak sebagai kumpulan besar kredensial VPN Fortinet dan FortiGate yang terkait dengan 73.932 URL firewall di organisasi-organisasi di seluruh dunia.
Peneliti keamanan Bob Diachenko mengatakan dia pertama kali menemukan sebuah server yang berisi apa yang tampak sebagai kredensial VPN Fortinet yang valid, termasuk nama pengguna, alamat email dan kata sandi dalam teks polos. Tangkapan layar dan detail yang dibagikannya menunjukkan entri yang terkait dengan perusahaan-perusahaan termasuk Chevron, Samsung, Foxconn, Comcast, AT&T, Mercedes-Benz, Toyota, Sinopec dan State Grid, di antara banyak lainnya.
"Kampanye brute-force/eksploitasi aktif Fortinet/FortiGate masif terungkap sedang berlangsung," tulis Diachenko di LinkedIn.
Dia mengatakan satu file saja berisi 21.634 nama domain, mencakup beragam organisasi dan termasuk Fortinet itu sendiri. Catatan yang terekspos juga menyertakan komentar yang mencantumkan industri, pendapatan dan jumlah karyawan setiap target, menunjukkan data tersebut diorganisir untuk perencanaan serangan.
Diachenko kemudian mengatakan operasi itu tampaknya dijalankan oleh kelompok ancaman multi-operator berbahasa Rusia yang mengumpulkan kredensial untuk perangkat FortiGate SSL VPN. Menurut laporannya, para pelaku melakukan sekitar 1,16 miliar upaya kredensial terhadap 320.777 target FortiGate, bersama dengan sekitar 2,1 miliar upaya terhadap 163.650 sistem Microsoft SQL Server.
Dia juga mengatakan kelompok itu mencegat hash otentikasi SSL VPN, memecahkannya menggunakan klaster 45-GPU yang dikelola melalui Hashtopolis, dan menggunakan kredensial yang dipulihkan untuk bergerak lateral ke lingkungan Active Directory internal.
Diachenko mengatakan kepada BleepingComputer bahwa dia menemukan file tambahan di server yang sama, termasuk artefak, connection strings, tooling, skrip dan log yang membantu merekonstruksi aktivitas tersebut.
Menurut penyelidikannya, beberapa organisasi di Jepang, Taiwan, Vietnam, Irak dan Turki dikompromikan sepenuhnya, termasuk sebuah kontraktor pertahanan NATO Turki dari mana dokumen rahasia diduga dicuri.
Perusahaan intelijen ancaman Hudson Rock kemudian menerbitkan analisisnya sendiri setelah menerima dataset dari Diachenko. Mereka menggambarkan kumpulan tersebut sebagai salah satu trove kredensial terkait Fortinet yang dikompromikan terbesar yang diketahui, mengatakan ia berisi 73.932 URL firewall unik di 194 negara dan memengaruhi 21.632 domain unik.
Fortinet mengatakan dalam sebuah pernyataan bahwa mereka menyadari laporan-laporan tersebut dan bahwa masalah ini tidak berasal dari kerentanan produk Fortinet.
Sumber:
Baca lebih banyak berita teknologi di Doppler VPN Blog.