FortiBleed攻撃でFortiGate VPNの管理者が締め出されているとされる

侵入後に管理者アカウントを操作

同記事によると、攻撃者は過去に漏えいした認証情報、または情報窃取型マルウェアのログ、認証情報の使い回し攻撃、パスワードスプレー攻撃で得たログイン情報を使い、公開されたエンドポイントへ侵入する。
FBIは一部の事案で、攻撃者が管理者アカウントを作成し、既存の管理者アカウントを削除したりパスワードを変更したりしていると説明している。

その後、攻撃者は永続的なアクセスを確保し、環境内での横展開を試みるという。
記事は、この攻撃連鎖がランサムウェア関係者の侵入経路として観測されたとも伝えている。

提供された報告には、これらの事案について直接比較できる過去の状態や件数は示されていない。

BleepingComputerが紹介したFBIの警告によると、FortiBleedの活動は継続しており、公開状態のFortiGateファイアウォールやSSL VPNゲートウェイで正規管理者のアクセスを妨げる可能性がある。

パッチとパスワード変更を超える復旧

報じられた活動は不正ログインにとどまらず、攻撃者がアクセスを保持したまま正規管理者による機器管理を妨げる可能性がある。
記事中のFBI警告では、修復にはパッチ適用やFortinetのパスワード再設定以上の対策が必要になる場合があるとされる。