Nivel de criticidad: crítico
El Centro de Operaciones de Ciberseguridad – CSOC-CERT de Gamma Ingenieros informa sobre diferentes vulnerabilidades detectadas en productos de Fortinet.
Antecedentes: el foro RAMP, es un sitio web construido por el grupo de criminales informáticos creadores del malware Babuk, siendo también parte del mercado negro en la Dark Web accesible a través de la red TOR. Han filtrado casi 500.000 nombres de inicio de sesión y contraseñas de VPN de Fortinet, extraídos de dispositivos explotables en mayo de 2019 (CVE-2018-13379); sin embargo, se indica en el foro que la vulnerabilidad explotada de Fortinet ha sido parcheada, afirmando que muchas credenciales de VPN siguen siendo válidas. Estas credenciales de VPN podrían permitir que los actores de amenazas accedan a una red para realizar la ex filtración de datos, instalar malware y realizar ataques de ransomware.
En el análisis realizado al archivo publicado, se evidenciaron 498.908 credenciales de usuarios de VPN de 12.856 dispositivos ubicados alrededor del mundo. La imagen a continuación muestra la distribución de los equipos por países:
Adicionalmente, se publicó una lista de los destinatarios de IP de los dispositivos filtrados en crypto-cypher
| TIPO: | Filtración de nombres de inicio de sesión y contraseñas. |
| PRODUCTOS AFECTADOS: | VPN Fortinet |
Recomendaciones y mitigación:
• Realizar restablecimiento forzado de todas las contraseñas de los usuarios, con el fin de evitar ataques.
• En lo posible, verificar los registros de los usuarios para identificar posibles intrusiones.
• Actualizar con los últimos parches de seguridad de Fortinet, todos los dispositivos de la marca, en especial los afectados.
• Comparar los datos de la empresa, con los de la base de datos publicada, para verificar si se ha comprometido alguno.
• Si ya tiene el servicio de gestión sobre sus equipos Fortigate con Gamma Ingenieros, debe crear un caso a soporte para realizar un plan de actualización a la versión que no se encuentre vulnerable, en caso de requerir dicho servicio por favor contacte a su gerente de cuenta.
Puede ampliar la información visitando: https://www.bleepingcomputer.com/news/security/hackers-leak-passwordsfor-500-000-fortinet-vpn-accounts/
