FortiBleed, c’est le nom donné à une fuite de données regroupant un volume important d’identifiants VPN Fortinet et FortiGate, associés à 73 932 adresses de firewalls. D’où proviennent ces données ? Sont-elles valides ? Voici ce que l’on sait.

FortiBleed : 73 000 pare-feu Fortinet exposés à travers le monde

À l’origine de cette découverte, on retrouve le chercheur en sécurité Bob Diachenko. Il affirme être tombé sur un serveur où se trouvait un ensemble de fichiers, dont l’un qui a particulièrement attiré son attention puisqu’il contenait des identifiants VPN Fortinet : des couples identifiant / mot de passe, avec les mots de passe stockés en clair. Dans certains cas, il s’agit de mots de passe longs et complexes, difficiles à casser sur le papier.

Certaines lignes présentes dans cette base font d’ailleurs référence à de très grandes entreprises : AT&T, Mercedes-Benz, Toyota, Chevron ou encore Samsung et Foxconn. Au-delà des identifiants, la base inclut des commentaires détaillant, pour chaque organisation, son secteur d’activité, son chiffre d’affaires et son nombre d’employés.

Suite à la publication de cette information sur LinkedIn par Bob Diachenko, les équipes d’Hudson Rock ont effectué une analyse complète sur le jeu de données. Voici ce qu’ils ont pu trouver :

• 73 932 adresses de pare-feu uniques réparties dans 194 pays
• 21 632 domaines uniques impactés
• Les pays les plus touchés sont l’Inde, les États-Unis, Taïwan, le Mexique, la Turquie, la Thaïlande, la Colombie, la Malaisie, le Chili et les Émirats arabes unis
• Les secteurs les plus représentés : télécommunications, services IT, finance, organisations gouvernementales, santé, éducation et industrie

C’est loin d’être anodin et d’après Hudson Rock, cela représenterait près de 50% des firewalls Fortinet exposés sur Internet. Si ces identifiants sont valides, c’est vraiment chaud. Mais alors, sont-ils valides ?

Des données issues de configurations Fortinet exportées

L’authenticité de cette fuite a été corroborée de manière indépendante par le chercheur Kevin Beaumont, qui fait toujours de très bonnes analyses ! Il a d’ailleurs confié à BleepingComputer : “J’ai pu confirmer l’authenticité de certains identifiants et mots de passe administrateur : cela ressemble à un véritable dump.”

Il estime aussi que le jeu de données concerne environ 75 000 équipements Fortinet, dont la grande majorité serait toujours en ligne. D’après lui, ces informations proviennent directement de configurations Fortinet exportées, et surtout, elles sont récentes.

“Ces données semblent provenir d’exportations des fichiers de configuration des appareils, car elles contiennent des éléments qui ne sont visibles que depuis l’appareil lui-même.”, précise-t-il. Reste à savoir comment les attaquants ont pu exporter ces configurations ? Personne ne le sait avec certitude. Forcément, on pense à l’exploitation d’une faille de sécurité, sans savoir si elle est déjà connue ou non.

De son côté, Fortinet a déclaré à BleepingComputer “que les données en question proviennent d’une redistribution de données issues d’incidents antérieurs, ainsi que d’attaques par brute force visant les identifiants, et ne sont liées à aucun incident ou avis de sécurité récent.” – Espérons que ce soit le cas.

Un groupe russophone derrière cette opération

De son côté, Bob Diachenko a pu analyser d’autres fichiers présents sur le même serveur, aux côtés de la base d’identifiants Fortinet. Cette opération serait l’œuvre d’un groupe d’attaquants russophones spécialisé dans la collecte d’identifiants d’équipement FortiGate SSL VPN.

“Ils ont accidentellement laissé en ligne un répertoire ouvert contenant des artefacts, des chaînes de connexion, des outils, des scripts et des données. Les analyses ont été obtenues via leurs tâches cron, leurs historiques bash, leurs journaux, etc.”, explique Bob Diachenko.

Selon son enquête, les attaquants auraient mené :

• Environ 1,16 milliard de tentatives d’identification contre 320 777 cibles FortiGate
• Près de 2,1 milliards de tentatives supplémentaires contre 163 650 serveurs Microsoft SQL Server

D’après lui, les pirates auraient intercepté des empreintes d’authentification SSL VPN, puis les auraient cassées à l’aide d’un cluster de 45 GPU piloté via Hashtopolis.

FortiBleed : êtes-vous affecté par cette fuite de données ?C

Hudson Rock a eu la bonne idée de publier un outil de vérification gratuit permettant aux organisations de savoir si elles figurent dans le jeu de données FortiBleed. Vous pouvez le retrouver sur cette page.

Pour les entreprises concernées, ne restez pas sans rien faire :

• Renouvelez les mots de passe des accès VPN et des interfaces d’administration Fortinet,
• Si ce n’est pas déjà fait, mettez en place l’authentification multifacteur (MFA),
• Analysez les journaux des passerelles à la recherche d’activités suspectes.

Source