La CISA y el FBI de EE. UU. emitieron un aviso conjunto a fines de la semana pasada, que advierte sobre los grupos de piratería APT que apuntan a FortiOS, el software especial que alimenta los firewalls FortiGate. Si bien el aviso no nombró específicamente a los grupos de amenazas, dijo que están apuntando a tres vulnerabilidades en FortiOS, que pueden permitir que los piratas informáticos ingresen e intercepten las comunicaciones.
Ataque APT en FortiOS
El Buró Federal de Investigaciones (FBI) y la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de EE. UU. ha emitido un aviso conjunto el 2 de abril, que menciona la última ola de ataques observados contra FortiOS. El aviso dice que los grupos de piratas informáticos están buscando los puertos 4443, 8443 y 10443 en busca de las siguientes vulnerabilidades;
- CVE-2020-12812: Una vulnerabilidad de autenticación en SSL VPN de FortiOS.
- CVE-2018-13379: una vulnerabilidad que permite que un atacante no autenticado descargue los archivos del sistema a través de SSL VPN, y
- CVE-2019-5591: una vulnerabilidad de configuración que permite a un atacante interceptar datos confidenciales haciéndose pasar por el servidor LDAP.
Dado que estos tres son bastante críticos, el FBI y CISA advierten a las organizaciones que los parchen de inmediato para evitar convertirse en víctimas. Si bien el aviso no nombró específicamente quiénes son esos grupos de piratería, mencionaron que los APT son los indicados. Estos son los grupos de piratería especializados respaldados por el estado-nación.
Las APT a menudo se dirigen a otras organizaciones gubernamentales con fines de reconocimiento. Su objetivo es robar datos confidenciales como IP e interrumpir los planes de las naciones objetivo. Además de las agencias gubernamentales, estos actores APT están tratando de explotar las vulnerabilidades anteriores para obtener acceso a “redes de servicios comerciales y tecnológicos”, dice el aviso.
El fabricante pone a disposición un parche para estas vulnerabilidades y se recomienda aplicarlo de inmediato. Además de solo actualizar, el FBI y CISA también han recomendado a las organizaciones que tomen medidas de seguridad adicionales, como seguir un plan de recuperación, hacer copias de seguridad de los datos regularmente, usar 2FA siempre que sea posible, restringir los puertos RDP y monitorear los registros RDP periódicamente.
