Yeni bir hackleme grubu, 15.000'den fazla Fortigate cihazı için yapılandırma dosyalarını, IP adreslerini ve VPN kimlik bilgilerini, karanlık web'de ücretsiz olarak serbest bırakarak diğer siber suçlara çok sayıda hassas teknik bilgi açığa çıkardı.
Veriler, ilk olarak bu ay sosyal medya ve siber suç forumlarında görünen yeni bir hack grubu olan "Belsen Grubu" tarafından sızdırıldı. Kendilerini tanıtmak için Belsen Group, Fortigate Veri Dökümünü diğer tehdit aktörleri tarafından kullanılmak üzere ücretsiz olarak yayınladıkları bir TOR web sitesi oluşturdu.
"Yılın başında ve bizim için olumlu bir başlangıç olarak ve hafızanızdaki grubumuzun adını sağlamlaştırmak için ilk resmi operasyonumuzu duyurmaktan gurur duyuyoruz: 15.000'den fazla hedeften hassas verilerden yayınlanacak. Hacklenmiş ve verileri çıkarılan dünya çapında (hem devlet hem de özel sektörler) "bir hack forum postası okuyor.
Fortigate sızıntısı, ülke tarafından sipariş edilen klasörleri içeren 1.6 GB arşivinden oluşur. Her klasör, her bir Fortigate'in o ülkedeki IP adresi için daha fazla alt klasör içerir.
Siber güvenlik uzmanı Kevin Beaumont'a göre, her IP adresi bir configuration.conf (FortiGate Config Dump) ve bir VPN-Passwords.txt dosyasına sahiptir. Yapılandırmalar ayrıca özel anahtarlar ve güvenlik duvarı kuralları gibi hassas bilgiler içerir.
Fortigate sızıntısı hakkında bir blog yazısında Beaumont, sızıntının, bir düzeltme yayınlanmadan önce saldırılarda sömürülen CVE-2022-40684 olarak izlenen 2022 sıfır gününe bağlı olduğuna inanıldığını söylüyor.
"Bir kurban kuruluşunda bir cihazda olay yanıtı yaptım ve sömürü gerçekten CVE-2022-40684 aracılığıyla cihazdaki eserlere dayanıyordu. Ayrıca, dökümde görülen kullanıcı adlarını ve şifreyi doğrulayabildim. Cihazla ilgili ayrıntılar, "diye açıklıyor Beaumont.
"Veriler Ekim 2022'de sıfır gün vuln olarak bir araya getirilmiş gibi görünüyor. Bir nedenden dolayı, yapılandırmanın veri dökümü bugün 2 yıl sonra piyasaya sürüldü."
2022'de Fortinet, tehdit aktörlerinin CVE-2022–40684 olarak izlenen bir sıfır günden yararlanan bir sıfır gününü hedeflenen FortiGate cihazlarından yapılandırma dosyalarını indirmek ve daha sonra 'Fortigate-Tech-Support' adlı kötü niyetli bir Super_Admin hesabı ekledikleri konusunda uyardı.
Alman haber sitesi Heise, veri sızıntısını analiz etti ve ayrıca 2022'de toplandığını ve tüm cihazların Fortios ürün yazılımı 7.0.0-7.0.6 veya 7.2.0-7.2.2 kullandığını söyledi.
"Tüm cihazlarda Fortios 7.0.0-7.0.6 veya 7.2.0-7.2.2, çoğu sürüm 7.2.0 ile donatılmıştır. Veri trove'de 7.2.2'den daha yeni olan herhangi bir Fortios sürümü bulamadık, 3 Ekim 2022'de piyasaya sürüldü, "dedi Heise.
Bununla birlikte, Fortios 7.2.2 CVE-2022-40684 Kusurunu düzeltti, bu nedenle bu sürümü çalıştıran cihazların bu güvenlik açığı ile nasıl kullanılabileceği belirsiz olacaktır.
Bu yapılandırma dosyaları 2022'de toplanmış olsa da, Beaumont hala bir ağın savunmaları hakkında çok fazla hassas bilgi ortaya koydukları konusunda uyarıyor.
Bu, verilerin daha geniş bir tehdit aktör havuzuna yayınlanması nedeniyle, o sırada değişmezse hemen değiştirilmesi gereken güvenlik duvarı kurallarını ve kimlik bilgilerini içerir.
Beaumont, sızıntıdaki IP adreslerinin bir listesini yayınlamayı planladığını söylüyor, böylece Fortigate yöneticileri sızıntının onları etkileyip etkilemediğini bilebilir.
2021'de bir tehdit oyuncusu CVE-2018-13379 güvenlik açığı kullanılarak toplanan yaklaşık 500.000 Fortinet VPN kimlik bilgilerini sızdırdı.
BleepingComputer ayrıca sızıntı hakkında sorularla hem tehdit aktörlerine hem de Fortinet'e ulaştı ve bir yanıt alırsak hikayeyi güncelleyecek.
Fortinet, Auth Bypass'ı Sıfır Day Bypass'ı Kaçmak İçin Sömürce uyarıyor
Başlangıç Erişim Komisyoncuları (IABS) kullanıcılarınızın kimlik bilgilerini nasıl satıyor?
Fortinet, hackerlar yönetici ayrıcalıkları veren fortiwlm hatası konusunda uyarıyor
Devam eden kimlik avı saldırısı, Google takvimini spam filtrelerini atlamak için kötüye kullanıyor
Bir gün toplu şifre sıfırlamasına mı ihtiyacınız olabilir? Önce bunu okuyun.
Kaynak: Bleeping Computer