Allarme FortiGate: attacco zero-day in corso, migliaia di dispositivi a rischio!

Luca Galuppi : 15 Gennaio 2025 08:11

Una nuova campagna informatica in corso sta mettendo a dura prova i dispositivi FortiGate di Fortinet, in particolare quelli con interfacce di gestione esposte su Internet pubblico. Questo attacco ha scatenato un’ondata di preoccupazioni per la sicurezza, rivelando vulnerabilità potenzialmente devastanti che potrebbero compromettere l’intera infrastruttura aziendale. Se sei uno degli amministratori responsabili della gestione di dispositivi FortiGate, è il momento di agire con urgenza.

Arctic Wolf, una rinomata azienda di cybersecurity, ha rivelato che gli attaccanti stanno sfruttando una vulnerabilità sospetta zero-day, che consente loro di ottenere accesso amministrativo non autorizzato per modificare le configurazioni del firewall, estrarre credenziali e spostarsi lateralmente all’interno di ambienti compromessi. La gravità della situazione non può essere sottovalutata: l’attacco ha coinvolto dispositivi FortiGate che eseguivano firmware dalle versioni 7.0.14 alla 7.0.16, rilasciate tra febbraio e ottobre 2024.

Una campagna opportunistica che non risparmia nessuno

Gli attaccanti non sembrano essersi concentrati su un settore o tipo di organizzazione in particolare. Questo attacco è opportunistico, sfruttando vulnerabilità comuni per ottenere un accesso privilegiato e avanzare nel sistema. La campagna, che si è sviluppata tra novembre e dicembre 2024, ha visto una progressione a fasi, ognuna con obiettivi e tecniche mirate:

• Fase 1 Vulnerability scanning (16–23 novembre 2024): Gli attaccanti hanno eseguito scansioni di vulnerabilità sfruttando l’interfaccia a riga di comando jsconsole, utilizzando indirizzi IP sospetti come quelli di loopback (ad esempio, 127.0.0.1) o risolutori DNS pubblici (ad esempio, 8.8.8.8).
• Fase 2 Reconnaissance (22–27 novembre 2024): I malintenzionati hanno effettuato il riconoscimento, cercando di modificare le configurazioni per verificare se fossero riusciti a ottenere i privilegi amministrativi.
• Fase 3 SSL VPN configuration (4–7 dicembre 2024): In questa fase, gli attaccanti hanno configurato l’accesso SSL VPN, creando nuovi account super amministrativi o prendendo il controllo di quelli esistenti per infiltrarsi ulteriormente nelle reti.
• Fase 4 Lateral Movement (16–27 dicembre 2024): Con accesso amministrativo, gli attaccanti hanno sfruttato la tecnica DCSync per estrarre le credenziali, approfittando della replica del dominio e accedendo a informazioni sensibili.

Cosa fare?

PARTE LA PROMO ESTATE -40%

RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!

Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Arctic Wolf sottolinea l’importanza di proteggere le interfacce di gestione e limitare l’accesso solo a utenti interni fidati. Ecco alcune azioni critiche da intraprendere senza indugi:

1. Disabilita l’accesso pubblico alle interfacce di gestione: Assicurati che le interfacce di gestione dei firewall siano inaccessibili da Internet.
2. Aggiorna regolarmente il firmware: Mantieni i dispositivi aggiornati con l’ultima versione stabile per proteggerti dalle vulnerabilità note.
3. Monitora attività anomale: Cerca comportamenti sospetti, come accessi amministrativi ripetuti o l’uso di IP di loopback.
4. Implementa l’autenticazione a più fattori (MFA): Rafforza la sicurezza degli accessi amministrativi per ridurre i rischi.
5. Effettua attività di Threat Hunting: Indaga su segni di attività malevola, inclusi cambiamenti non autorizzati nelle configurazioni o configurazioni SSL VPN sospette.

Conclusione

Fortinet è consapevole della campagna e sta attivamente indagando sull’incidente. Il 12 dicembre 2024, Arctic Wolf ha segnalato le attività osservate a Fortinet, e il loro team PSIRT ha confermato di essere a conoscenza della situazione il 17 dicembre. Tuttavia, l’attività prosegue e l’impegno di Fortinet nella risoluzione è ancora in corso.

Questa campagna è un chiaro esempio di come attacchi mirati possano evolversi rapidamente e compromettere gravemente la sicurezza delle infrastrutture IT. Ora più che mai, è fondamentale essere preparati e implementare le misure di difesa adeguate per proteggere i dati sensibili e garantire la resilienza della rete aziendale.

Luca Galuppi
Appassionato di tecnologia da sempre. Lavoro nel campo dell’informatica da oltre 15 anni. Ho particolare esperienza in ambito Firewall e Networking e mi occupo quotidianamente di Network Design e Architetture IT. Attualmente ricopro il ruolo di Senior IT Engineer e PM per un’azienda di Consulenza e Servizi IT.

Lista degli articoli
Visita il sito web dell'autore