Злоумышленники атаковали сотни брандмауэров FortiGate, устанавливая на них кастомные снифферы для перехвата учётных данных. Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис» Сергей Полунин отметил, что участившиеся атаки на продукцию Fortinet объясняются простым правилом кибербезопасности: ломают то, что популярно.
«Если полистать новости последних месяцев, то может показаться, что оборудование Fortinet – это буквально официальная точка входа для многих APT-групп. И пока одни компании по остаточному признаку обновляют прошивки в своем оборудовании, то другие ведут учет украденных учетных данных. Каждый раз все удивляются происходящему, и даже может сложиться впечатление, что Fortinet – какие-то особо уязвимые устройства. Напротив, их МЭ регулярно входят во всевозможные топы рейтингов, но у популярности есть цена – внимание хакеров. Ломают популярное, это непреложная истина мира ИБ», – подчеркнул Сергей Полунин.
Он добавил, что даже самый надёжный межсетевой экран не может работать в режиме «поставил и забыл». Компаниям необходимо своевременное обслуживание, регулярный аудит, установка обновлений и постоянный мониторинг. «Многие компании подключают свои ресурсы, в том числе МЭ, к внешнему мониторингу с помощью SOC, такого как GSOC, чтобы оперативно выявлять все проблемы и не становиться "героями" новостей», – отметил эксперт.
Напомним, в рамках кампании FortiBleed злоумышленники устанавливали на скомпрометированные устройства специальный сниффер, перехватывающий учётные данные и хеши паролей по 24 протоколам, включая Kerberos, LDAP и RDP. Полученные доступы, предположительно, перепродавались другим хакерским группам. Основными целями атак становились небольшие компании и ИТ-провайдеры в США и Индии.
