フォーティブリードの流出で73,000台超のフォーティネットおよびフォーティゲート VPN認証情報が露出
フォーティブリードの流出が数万件のVPN認証情報を露呈
「フォーティブリード」と呼ばれる新たに発見されたデータ流出により、世界中の組織にある73,932件のファイアウォールURLに紐づくと思われる大量のフォーティネットおよびフォーティゲートのVPN認証情報が露呈しました。
セキュリティ研究者のボブ・ディアチェンコは、最初にユーザー名、メールアドレス、平文パスワードなどを含む、正当なフォーティネットVPN認証情報と思われるものを含むサーバーを発見したと述べました。彼が共有したスクリーンショットや詳細には、シェブロン、サムスン、フォックスコン、コムキャスト、AT&T、メルセデス・ベンツ、トヨタ、シノペック、ステートグリッドなど多くの企業に関連するエントリが示されています。
「大規模なフォーティネット/フォーティゲートに対するブルートフォース／能動的な悪用キャンペーンが実行中に発見された」とディアチェンコはLinkedInに投稿しました。
彼によると、1つのファイルだけで21,634件のドメイン名が含まれており、幅広い組織にまたがり、フォーティネット自身も含まれていました。露出した記録には各ターゲットの業種、収益、従業員数を列挙したコメントも含まれており、データが攻撃計画のために整理されていたことを示唆しています。
ディアチェンコは後に、この作戦はロシア語を話す複数のオペレータからなる脅威グループによって運営され、フォーティゲートのSSL VPNデバイスの認証情報を収集していたようだと述べました。彼の説明では、攻撃者らは320,777件のフォーティゲートターゲットに対して約11.6億回の認証試行を行い、さらに163,650台のマイクロソフト SQL Serverシステムに対して21億回の試行を行ったということです。
彼はまた、グループがSSL VPN認証ハッシュを傍受し、ハッシュトポリスで管理された45GPUクラスタを用いてそれらを解読し、回復した認証情報を使って内部のアクティブディレクトリ環境に横移動したと述べました。
ディアチェンコはBleepingComputerに、同じサーバーでアーティファクト、接続文字列、ツール、スクリプト、ログなど、活動の再構築に役立つ追加のファイルを発見したと語りました。
彼の調査によれば、日本、台湾、ベトナム、イラク、トルコの複数の組織が完全に侵害され、トルコのNATO向け防衛請負業者からは機密文書が盗まれたとされます。
脅威インテリジェンス企業のハドソンロックは、ディアチェンコからデータセットを受け取った後に独自の分析を公開しました。同社はこのコレクションを既知の中で最大級のフォーティネット関連の認証情報の蓄積の一つと表現し、194か国にわたる73,932件のユニークなファイアウォールURLを含み、21,632のユニークなドメインに影響を与えていると述べました。
フォーティネットは声明で、報告を把握しており、問題はフォーティネット製品の脆弱性に起因するものではないと述べています。
出典：
さらに技術ニュースをDoppler VPN Blogで読む。