FortiBleed gekoppeld aan ransomwaregroepen INC en Lynx

In dit artikel:

Nieuw onderzoek naar de FortiBleed-campagne legt een directe link met de ransomwaregroepen INC en Lynx. Beveiligingsbedrijf SOCRadar stelt dat de grootschalige diefstal van Fortinet-inloggegevens niet op zichzelf stond, maar onderdeel was van een bredere operatie om later netwerken te kunnen afpersen. De onderzoekers troffen hiervoor een onbeveiligde server aan met configuratiebestanden en gegevens van meer dan 73.000 Fortinet-apparaten.

De analyse wijst erop dat de daders een Windows-server gebruikten die toegang had tot de onderhandelingsportalen van beide ransomwaregroepen. Op browsersessies waren dashboards zichtbaar met gesprekken met slachtoffers, wat volgens SOCRadar sterk suggereert dat dezelfde personen of nauw samenwerkende teams achter zowel de inbraak als de afpersing zitten. Eerder was al duidelijk dat de groep een eigen tool, FortiGate Sniffer, inzette om VPN- en andere authenticatiegegevens uit netwerkverkeer te onderscheppen.

Volgens SOCRadar was de operatie veel groter dan eerst gedacht. Wereldwijd zouden meer dan 430.000 FortiGate-firewalls zijn benaderd; op circa 19.000 systemen is daadwerkelijk sniffersoftware geplaatst, later teruggebracht tot ongeveer 11.000 na waarschuwingen aan getroffen organisaties. In totaal zijn nu zo’n 500 servers aan de campagne gekoppeld. Ook doken slachtoffers uit de operatie later op de publieke lekpagina van INC-ransomware.

Verder vermoeden de onderzoekers dat de groep uit ongeveer twintig mensen bestaat met verschillende rollen, en dat een hardnekkig backdooraccount met de naam “adminin” op meerdere systemen werd gebruikt. Daarnaast is er mogelijk een onbekende kwetsbaarheid in Nextcloud misbruikt om verder door te dringen in netwerken. SOCRadar werkt nog aan het onderzoek en verwacht later extra technische details en bewijs te publiceren.