Trwają ataki na firmy poprzez lukę w FortiGate SSL-VPN

08 04 2021

Zespół ekspertów z firmy Kaspersky zaobserwował cyberataki ransomware na firmy, które korzystają z usługi tunelowania VPN w urządzeniach FortiGate. Wektorem ataku jest podatność z 2018 roku w skonfigurowanym i aktywowanym serwerze VPN. Luka CVE-2018-13379 występuje w tych wersjach FortiOS. Jeżeli atakującemu uda się wykorzystać tę podatność, to może on zainstalować w sieci ransomware Cring (szkodnik zaobserwowany przez szwajcarski CSIRT).

Ta odmiana szkodliwego oprogramowania używana do szyfrowania danych rozprzestrzenia się po sieci w sposób znany zespołom ds. bezpieczeństwa. Używa procesów systemowych, takich jak certutil.exe z odpowiednim parametrem, a także legalne oprogramowanie mimikatz, często używane przez operatorów cyberataków do kradzieży informacji i danych z dysku, i bezpośrednio z pamięci RAM komputera.

Mimikatz używane do cyberataków.
Mimikatz jest używane do cyberataków.

Oprócz wyłudzania odpowiedniej ilości kryptowaluty Bitcoin nagrywane sesje SSL-VPN mogą być użyte przeciwko organizacji, a nawet sprzedane odpowiednim zainteresowanym na forach cyberprzestępczych.

Luka w FortiGate SSL-VPN - nagrana sesja wystawiona na sprzedaż.
Luka w FortiGate SSL-VPN - nagrana sesja wystawiona na sprzedaż.

Ransomware Cring szyfruje następujące pliki oraz bazy danych:

.vhdx (Virtual Hard Disk)
.ndf (Microsoft SQL Server secondary database)
.wk (Lotus 1-2-3 spreadsheet)
.xlsx (Microsoft Excel spreadsheet)
.txt (text document)
.doc (Microsoft Word document)
.docx (Microsoft Word document)
.xls (Microsoft Excel spreadsheet)
.mdb (Microsoft Access database)
.mdf (disk image)
.sql (saved SQL query)
.bak (backup file)
.ora (Oracle database)
.pdf (PDF document)
.ppt (Microsoft PowerPoint presentation)
.pptx (Microsoft PowerPoint presentation)
.dbf (dBASE database management file)
.zip (archive)
.rar (archive)
.aspx (ASP.NET webpage)
.php (PHP webpage)
.jsp (Java webpage)
.bkf (backup created by Microsoft Windows Backup Utility)
.csv (Microsoft Excel spreadsheet)

Eksperci zalecają natychmiastową aktualizację FortiOS, aktualizację oprogramowania anty-malware, a także aktywowanie wszystkich modułów bezpieczeństwa. Pozostałe formalności dotyczą m.in. kopii zapasowych oraz weryfikowanie jej integralności i możliwości przywrócenia. Szczegóły techniczne publikuje firma Kaspersky.

PODZIEL SIĘ:

Share on facebook
Share on twitter
Share on linkedin
Share on email
AUTOR: Adrian Ścibor
Redaktor prowadzący AVLab.pl
guest
0 komentarzy
Inline Feedbacks
View all comments

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA
BĄDŹ ZAWSZE NA BIEŻĄCO!
zapisz się

Bitdefender GravityZone Webinarium

Dowiedz się, co eksperci mówią o GravityZone

Porównanie rozwiązań ochronnych

DLA GOSPODARSTWA DOMOWEGO I MIKRO FIRMY

Dlaczego korzystamy z dHosting?

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA
BĄDŹ ZAWSZE NA BIEŻĄCO!
zapisz się

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA E-MAIL I ZAWSZE BĄDŹ NA BIEŻĄCO!
zapisz się

POLECANE PRODUKTY

YUBICO

Klucze zabezpieczające

SILNE UWIERZYTELNIANIE DWUSKŁADNIKOWE, WIELOSKŁADNIKOWE I BEZ HASŁA

RAPORT
Cyberbezpieczeństwo:
Trendy 2021

Już dostępny!

Dlaczego korzystamy
z dHosting?

YUBICO

Klucze zabezpieczające

SILNE UWIERZYTELNIANIE DWUSKŁADNIKOWE, WIELOSKŁADNIKOWE I BEZ HASŁA

Bitdefender GravityZone Webinarium

Dowiedz się, co eksperci mówią o GravityZone