Uma vasta campanha de ataques informáticos, apelidada de FortiBleed, comprometeu dezenas de milhares de firewalls e redes privadas virtuais da Fortinet utilizadas por grandes empresas a nível mundial. Segundo as informações divulgadas pelas empresas de cibersegurança Hudson Rock e SOCRadar, esta operação não recorre a vulnerabilidades desconhecidas no equipamento, baseando-se antes num problema mais elementar: a falta de alteração de palavras-passe e a reutilização de credenciais de acesso já conhecidas pelos piratas informáticos.
Nesta operação contínua, os atacantes começam por usar ferramentas automatizadas para sondar a internet em busca de dispositivos da Fortinet expostos. Em seguida, acedem às redes através de listas de palavras-passe previamente comprometidas. A partir desse momento, os criminosos conseguem infiltrar-se e extrair dados sensíveis das entidades visadas.
O ciclo do ataque e a escala global
De acordo com a análise efetuada pelas entidades de segurança, assim que um equipamento é comprometido, os piratas informáticos utilizam-no como um posto de escuta. Este método permite monitorizar o tráfego que passa pela rede e recolher credenciais adicionais em circulação. Estas novas palavras-passe são depois introduzidas novamente no sistema de varrimento para comprometer ainda mais equipamentos, criando um ciclo vicioso que se alimenta a si próprio.
Os números da infeção variam consoante a avaliação de cada entidade. A investigação aponta indícios de que mais de 73 mil endereços únicos da Fortinet foram invadidos, enquanto outras métricas indicam um total de dispositivos comprometidos superior a 30 mil. Os países com o maior volume de equipamentos afetados incluem a Índia, os Estados Unidos, Taiwan e o México, embora existam vítimas espalhadas por todo o planeta.
Os setores mais atingidos englobam os serviços de tecnologias de informação, os materiais de construção e as telecomunicações, existindo também o registo de agências governamentais entre os visados. O grupo responsável pela campanha aparenta ser de origem russófona.
Grandes marcas internacionais na lista de vítimas
Entre as organizações afetadas pelo ataque encontram-se nomes de peso como a Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens e PwC. Apenas um porta-voz da Lenovo reconheceu a receção de um pedido de comentário sobre o incidente, sem prestar declarações adicionais, enquanto as restantes empresas não responderam às solicitações. A própria Fortinet também não emitiu qualquer resposta oficial.
Os relatórios originais baseiam-se na descoberta de uma extensa lista de credenciais destinadas a dispositivos da Fortinet e respetivas empresas associadas. A campanha foi inicialmente detetada pelo investigador de segurança Bob Diachenko durante o fim de semana, tendo o investigador independente Kevin Beaumont analisado e confirmado a legitimidade dos dados expostos.
Ao contrário de incidentes que marcaram os últimos anos e que exploraram falhas complexas e de dia zero nestes sistemas, os criminosos optaram agora por uma abordagem mais simples e menos sofisticada, recorrendo unicamente ao aproveitamento de palavras-passe divulgadas no passado para contornar as defesas corporativas.
Nenhum comentário
Seja o primeiro!