FortiGate sotto attacco: in vendita tool per lo sfruttamento massivo delle API esposte

Redazione RHC : 23 Giugno 2025 10:21

Un nuovo e allarmante sviluppo sta scuotendo il panorama della sicurezza informatica: un attore malevolo ha pubblicizzato sul dark web un exploit altamente sofisticato volto a compromettere dispositivi FortiGate.

Si tratta di un nuovo exploit venduto al prezzo di 12.000 dollari per firewall FortiGate che è apparso in vendita sul noto forum underground Exploit. Il post, pubblicato da un utente con lo pseudonimo Anon-WMG, presenta uno strumento capace di compromettere in modo massivo dispositivi Fortinet sfruttando le API esposte.

Caratteristiche tecniche dell’exploit

Denominato “FortiGate API Dump Exploit (~7.2 e versioni inferiori)”, il tool è in grado di interagire con oltre 170 endpoint delle API FortiGate, con compatibilità dichiarata per le versioni 6.x e 5.x, e testato anche su 7.2.6 e precedenti. Le funzionalità includono:

• Dump automatico da più di 170 endpoint API Fortinet
• Estrazione di informazioni sensibili: configurazioni firewall, utenti VPN locali, portali SSL, backup, chiavi SNMP, parametri DNS, HA e NTP
• Supporto al multithreading (oltre 20 thread) per scansioni rapide e massicce
• Output in formato JSON e file di configurazione strutturati
• Headers stealth e modulo di reporting dedicato (“Report Runner”)

Prova la Demo di Business Log! Adaptive SOC italiano Log management non solo per la grande Azienda, ma una suite di Audit file, controllo USB, asset, sicurezza e un Security Operation Center PERSONALE, che ti riporta tutte le operazioni necessarie al tuo PC per tutelare i tuoi dati e informati in caso di problemi nel tuo ambiente privato o di lavoro. Scarica ora la Demo di Business Log per 30gg Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Lo strumento prende di mira:

• Firewall FortiGate con API esposte (porte predefinite: 443 e 10443)
• Portali SSL/VPN configurati in modo errato

L’autore sostiene che l’exploit sia in grado di compromettere:

• Credenziali di rete interne e amministrative (inclusi hash e password cifrate)
• Token attivi SAML/RADIUS/LDAP
• Token VPN e ID di sessioni IPSec
• Backup completi di configurazione dei dispositivi

Impatto e diffusione e prezzo di vendita

Le implicazioni sono gravi e includono:

• Accesso alla rete interna e lateral movement
• Furto di configurazioni, backup e credenziali
• Compromissione di comunicazioni VPN in corso
• Possibilità di escalation attraverso token utente legittimi

Il tool risulta testato su numerose versioni di FortiOS: v6.0.9, 6.2.5, 7.0.4, 7.2.1, 7.2.6, 6.2.x e altre.

• Prezzo richiesto: 12.000 dollari
• Pagamento in criptovaluta
• Trattativa tramite escrow per garantire (almeno formalmente) la transazione
• Forniti alcuni sample tramite link temporaneo su “send.exploit.in”
• L’autore avverte di contattarlo solo in caso di reale intenzione d’acquisto

Contromisure e raccomandazioni

Le organizzazioni che utilizzano FortiGate devono agire immediatamente, soprattutto se:

• Le interfacce API sono esposte direttamente su Internet
• I dispositivi eseguono versioni obsolete del firmware
• I portali VPN/SSL non sono configurati correttamente

Raccomandazioni operative:

• Eseguire un audit immediato delle interfacce esposte
• Aggiornare tutti i dispositivi alla versione FortiOS più recente e supportata
• Limitare l’accesso alle API solo a indirizzi IP interni o autorizzati
• Abilitare i log API per individuare attività sospette
• Revocare e rigenerare i token VPN attivi, verificando l’integrità delle configurazioni

Conclusioni

La disponibilità di un exploit automatizzato come questo sul mercato underground evidenzia una volta di più quanto sia critico esporre anche solo parzialmente interfacce di gestione non adeguatamente protette. In questo caso, l’accesso non autenticato alle API FortiGate può portare al completo compromesso di una rete.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli