Sistemas Afectados
- FortiOS: Versiones 7.0.0 a 7.0.6 y Versiones 7.2.0 a 7.2.1
- FortiProxi: Versiones 7.0.0 a 7.0.6 o Versión 7.2.0
- FortiSwitchManager: Versiones 7.0.0 o 7.2.0
Descripción
Un grupo de hacker recién surgido, conocido como “Belsen Group” ha filtrado los archivos de configuración, direcciones IP y credenciales de VPN para más de 15,000 dispositivos FortiGate. Los datos, que contienen detalles técnicos confidenciales, se pusieron a disposición en la web profunda (dark web), lo que plantea riesgos significativos para las organizaciones de todo el mundo.
El grupo afirmó que los datos abarcan los sectores gubernamentales y privados en numerosos países. En un archivo de 1,6 GB, organizado por país y otras subcarpetas por dirección IP, incluye:
- Archivos de configuración (configuration.conf), que detallan las reglas del firewall y las claves privadas.
- Credenciales VPN (vpn-passwords.txt), algunos de los cuales están en texto plano.
En octubre de 2022, Fortinet advirtió la divulgación de una vulnerabilidad de día cero, posteriormente identificada como CVE-2022-40684 que afectaba sus dispositivos FortiGate y que alguien la estaba usando para explotar los firewalls.
Referencia
- https://doublepulsar.com/2022-zero-day-was-used-to-raid-fortigate-firewall-configs-somebody-just-released-them-a7a74e0b0c7f
- https://www.bleepingcomputer.com/news/security/hackers-leak-configs-and-vpn-credentials-for-15-000-fortigate-devices/
- https://cybersecuritynews.com/fortigate-firewall-configs-leaked/
Solución
Se insta a las organizaciones que utilizan dispositivos FortiGate a tomar medidas inmediatas:
- Cambiar todas las credenciales: Actualizar las contraseñas de acceso VPN y administrador.
- Parchear a la ultima version de firmare: Asegúrese de que los dispositivos estén ejecutando versiones más recientes que la 7.2.2, actualice a la última versión para abordar las vulnerabilidades.
- Configuraciones de red de auditoría: Revisión de cuentas no autorizadas, como ‘fortigate-tech-support’ super_admin.
- Monitorear posibles amenazas: Esté atento al tráfico inusual o los intentos de acceso que se originan en direcciones IP filtradas.