Les cybercriminels ont compromis des dizaines de milliers de pare-feu et VPN Fortinet utilisés par de grandes entreprises du monde entier, selon deux sociétés de cybersécurité.
La campagne de piratage généralisée, en cours et baptisée FortiBleed, ne semble pas impliquer l’exploitation d’une vulnérabilité inconnue dans les appareils ciblés, mais plutôt un problème plus fondamental : les entreprises ne doivent pas changer les mots de passe du pare-feu, ni s’assurer que les informations d’identification qu’elles utilisent pour les systèmes sensibles exposés sur Internet ne sont pas déjà connues des pirates.
Dans cette campagne, les pirates utilisent d’abord des outils automatisés pour analyser Internet à la recherche de pare-feu et de VPN Fortinet exposés. Ensuite, ils s’introduisent dans les appareils grâce à des listes de mots de passe préalablement connus. À ce stade, les cybercriminels peuvent voler des données plus sensibles aux entreprises victimes, ont écrit les sociétés de cybersécurité Hudson Rock et SOCRadar dans leurs rapports publiés cette semaine.
« Une fois qu’un appareil est compromis, (les pirates) l’utilisent comme poste d’écoute, surveillant le trafic qui le traverse et collectant toutes les informations d’identification supplémentaires qui passent. Ces mots de passe fraîchement collectés sont ensuite réinjectés dans le scanner pour compromettre encore plus d’appareils. Le système s’alimente tout seul », a écrit SOCRadar.
La porte-parole de Fortinet, Tiffany Curci, a déclaré à TechCrunch que la société « est au courant d’une campagne de collecte d’informations d’identification de tiers ciblant les pare-feu et les passerelles VPN de Fortinet ». Fortinet a déclaré que, sur la base de l’analyse de l’entreprise, les données impliquées sont « un repartage de données d’incidents précédents, ainsi qu’un forçage brutal des informations d’identification, et ne sont liées à aucun incident ou avis récent ».
Hudson Rock a déclaré avoir trouvé des preuves suggérant que plus de 73 000 URL Fortinet uniques ont été piratées, tandis que SOCRadar a déclaré que le total d’appareils piratés était supérieur à 30 000.
Selon Hudson Rock, les entreprises piratées comprennent : Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens et PwC.
Un porte-parole de Lenovo a accusé réception de la demande de commentaires de TechCrunch mais n’a pas répondu. Aucune des autres sociétés n’a répondu à une demande de commentaires.
Selon Hudson Rock et SOCRadar, les pays où les appareils sont les plus touchés sont l’Inde, les États-Unis, Taiwan et le Mexique. Mais les deux sociétés affirment qu’il y a des victimes partout dans le monde. Quant aux industries, les plus touchées sont les services informatiques, les matériaux de construction et les télécommunications, selon Hudson Rock. Les agences gouvernementales font également partie des victimes, selon SOCRadar. Les deux sociétés de cybersécurité ont déclaré que le groupe à l’origine de la campagne de piratage semble être russophone.
Les rapports d’Hudson Rock et de SOCRadar sont basés sur la découverte d’une liste d’informations d’identification pour les appareils Fortinet et les sociétés associées. Cette campagne de piratage a été signalée pour la première fois par le chercheur en sécurité Bob Diachenko ce week-end. Le chercheur indépendant en cybersécurité Kevin Beaumont a déclaré mercredi dans un article de blog qu’il avait analysé les données et confirmé qu’elles « étaient légitimes ».
Ces dernières années, plusieurs campagnes de piratage ont ciblé et compromis les appareils Fortinet, en abusant généralement des vulnérabilités de ces systèmes. Au lieu de cela, dans ce cas, les pirates informatiques s’appuient sur des mots de passe divulgués, une attaque plus simple et moins sophistiquée.
Mis à jour avec le commentaire de Fortinet.
Lorsque vous achetez via des liens dans nos articles, nous pouvons gagner une petite commission. Cela n’affecte pas notre indépendance éditoriale.
