Allarme FortiGate: attacco zero-day in corso, migliaia di dispositivi a rischio!

Luca Galuppi : 15 Gennaio 2025 08:11

Una nuova campagna informatica in corso sta mettendo a dura prova i dispositivi FortiGate di Fortinet, in particolare quelli con interfacce di gestione esposte su Internet pubblico. Questo attacco ha scatenato un’ondata di preoccupazioni per la sicurezza, rivelando vulnerabilità potenzialmente devastanti che potrebbero compromettere l’intera infrastruttura aziendale. Se sei uno degli amministratori responsabili della gestione di dispositivi FortiGate, è il momento di agire con urgenza.

Arctic Wolf, una rinomata azienda di cybersecurity, ha rivelato che gli attaccanti stanno sfruttando una vulnerabilità sospetta zero-day, che consente loro di ottenere accesso amministrativo non autorizzato per modificare le configurazioni del firewall, estrarre credenziali e spostarsi lateralmente all’interno di ambienti compromessi. La gravità della situazione non può essere sottovalutata: l’attacco ha coinvolto dispositivi FortiGate che eseguivano firmware dalle versioni 7.0.14 alla 7.0.16, rilasciate tra febbraio e ottobre 2024.

Una campagna opportunistica che non risparmia nessuno

Gli attaccanti non sembrano essersi concentrati su un settore o tipo di organizzazione in particolare. Questo attacco è opportunistico, sfruttando vulnerabilità comuni per ottenere un accesso privilegiato e avanzare nel sistema. La campagna, che si è sviluppata tra novembre e dicembre 2024, ha visto una progressione a fasi, ognuna con obiettivi e tecniche mirate:

• Fase 1 Vulnerability scanning (16–23 novembre 2024): Gli attaccanti hanno eseguito scansioni di vulnerabilità sfruttando l’interfaccia a riga di comando jsconsole, utilizzando indirizzi IP sospetti come quelli di loopback (ad esempio, 127.0.0.1) o risolutori DNS pubblici (ad esempio, 8.8.8.8).
• Fase 2 Reconnaissance (22–27 novembre 2024): I malintenzionati hanno effettuato il riconoscimento, cercando di modificare le configurazioni per verificare se fossero riusciti a ottenere i privilegi amministrativi.
• Fase 3 SSL VPN configuration (4–7 dicembre 2024): In questa fase, gli attaccanti hanno configurato l’accesso SSL VPN, creando nuovi account super amministrativi o prendendo il controllo di quelli esistenti per infiltrarsi ulteriormente nelle reti.
• Fase 4 Lateral Movement (16–27 dicembre 2024): Con accesso amministrativo, gli attaccanti hanno sfruttato la tecnica DCSync per estrarre le credenziali, approfittando della replica del dominio e accedendo a informazioni sensibili.

Cosa fare?

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence".  A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.   Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.  Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Arctic Wolf sottolinea l’importanza di proteggere le interfacce di gestione e limitare l’accesso solo a utenti interni fidati. Ecco alcune azioni critiche da intraprendere senza indugi:

1. Disabilita l’accesso pubblico alle interfacce di gestione: Assicurati che le interfacce di gestione dei firewall siano inaccessibili da Internet.
2. Aggiorna regolarmente il firmware: Mantieni i dispositivi aggiornati con l’ultima versione stabile per proteggerti dalle vulnerabilità note.
3. Monitora attività anomale: Cerca comportamenti sospetti, come accessi amministrativi ripetuti o l’uso di IP di loopback.
4. Implementa l’autenticazione a più fattori (MFA): Rafforza la sicurezza degli accessi amministrativi per ridurre i rischi.
5. Effettua attività di Threat Hunting: Indaga su segni di attività malevola, inclusi cambiamenti non autorizzati nelle configurazioni o configurazioni SSL VPN sospette.

Conclusione

Fortinet è consapevole della campagna e sta attivamente indagando sull’incidente. Il 12 dicembre 2024, Arctic Wolf ha segnalato le attività osservate a Fortinet, e il loro team PSIRT ha confermato di essere a conoscenza della situazione il 17 dicembre. Tuttavia, l’attività prosegue e l’impegno di Fortinet nella risoluzione è ancora in corso.

Questa campagna è un chiaro esempio di come attacchi mirati possano evolversi rapidamente e compromettere gravemente la sicurezza delle infrastrutture IT. Ora più che mai, è fondamentale essere preparati e implementare le misure di difesa adeguate per proteggere i dati sensibili e garantire la resilienza della rete aziendale.

Luca Galuppi
Appassionato di tecnologia da sempre. Lavoro nel campo dell’informatica da oltre 15 anni. Ho particolare esperienza in ambito Firewall e Networking e mi occupo quotidianamente di Network Design e Architetture IT. Attualmente ricopro il ruolo di Senior IT Engineer e PM per un’azienda di Consulenza e Servizi IT.

Lista degli articoli
Visita il sito web dell'autore