FBI waarschuwt voor kritieke uitbuiting van een lek in Fortinet-firewalls dat sinds juni bekend is. Aanvallers gebruiken gestolen credentials en sluiten IT-beheerders buiten.
Volgens de FBI wordt een in juni ontdekte FortBleed-lek nog volop uitgebuit door aanvallers. “De FortiBleed-aanvalsketen is waargenomen als een eerste toegangspunt voor ransomware”, waarschuwt de Amerikaanse inlichtingendienst. Het lek laat aanvallers toe om met uitgelekte credentials toegang te krijgen tot Fortinet-endpoints en als extra slok op de borrel de IT-beheerder(s) van de organisatie buitenspel te zetten.
Bloedende firewalls
FortiBleed wijst naar een lek met Fortinet-firewalls dat in juni aan de oppervlakte kwam. Een database met gegevens van bijna 74.000 apparaten verscheen in één klap online. SOCRadar spreekt zelfs over 86.000 gekraakte firewalls, verspreid over 194 landen. Ook een paar honderd Belgische organisaties waren kwetsbaar. Het FortiBleed-incident wordt één van de grootste datalekken met betrekking tot firewalls ooit genoemd.
Fortinet adviseerde gebruikers om de credentials van hun firewalls te verversen. Uit het feit dat het lek nog steeds actief misbruikt werd, blijkt dat niet alle IT-beheerders dat advies ter harte hebben genomen. Het beveiligingsbedrijf heeft vanaf de eerste meldingen gezegd dat het lek niet ontstaan is door een kwetsbaarheid in zijn eigen systemen.
Logisch advies
De FBI adviseert Fortinet-klanten om naar sporen van verdachte activiteit te zoeken in getroffen systemen te isoleren. Verder wordt aangeraden om de bewegingsruimte van indringers te beperken door extern beheer van devices uit te schakelen, actieve sessies te beëindigen, credentials te resetten en MFA in te schakelen.
Dat klinken als logische adviezen, maar de praktijk toont keer op keer aan dat ze moeten blijven herhaald worden. Een muur met een gapend gat in, heeft maar weinig effect om indringers buiten te houden. Een firewall alleen volstaat niet meer om van effectieve beveiliging te spreken.