Se hacen con tus cortafuegos y te dejan fuera de tu propia red

Un ataque que no se detiene en la intrusión

La mayoría de los ciberataques siguen un patrón bien conocido: entrar, robar datos, desaparecer. FortiBleed rompe ese patrón de una forma que debería poner en alerta a todos los responsables de redes.

Según la empresa de seguridad SOCRadar, citada por SecurityWeek, más de 86 600 dispositivos en 194 países han sido comprometidos en la campaña en curso. Se trata de cortafuegos y soluciones VPN conectados a internet de Fortinet, precisamente el tipo de equipos que deberían proteger las redes de las organizaciones. La ironía no es sutil.

Lo que hace especialmente grave la situación es el siguiente paso en el manual de los atacantes: borran o modifican contraseñas y cuentas de usuario para mantener a las organizaciones afectadas fuera de su propia infraestructura. El FBI y el Servicio Secreto de Estados Unidos (USSS) han emitido una advertencia de seguridad conjunta sobre este comportamiento. Además, los atacantes se desplazan activamente dentro de las redes comprometidas: la intrusión no es un fin en sí mismo, sino un trampolín.

Así se construye el ataque

El enfoque técnico es metódico y está bien estructurado. Según se informa, los atacantes, un actor ruso con el modelo de negocio de vender el acceso inicial a la red a otros delincuentes, combinan varias técnicas:

• Escaneo de internet en busca de portales VPN expuestos
• Recopilación de credenciales procedentes de brechas de datos anteriores y de los llamados infostealers (programas maliciosos que filtran contraseñas y datos de sesión)
• Descifrado local de contraseñas de datos cifrados
• Cartografía de la superficie de ataque para evitar trampas de seguridad

Las configuraciones que funcionan y las listas de objetivos se venden después en foros criminales. Se trata, por tanto, de una cadena de ataque comercializada: no un actor aislado, sino todo un ecosistema de delincuentes que se reparten el trabajo y las ganancias.

La campaña comenzó en junio y, por tanto, no es nueva, pero sigue creciendo. Esto indica que demasiadas organizaciones aún no han corregido las deficiencias básicas que hacen posibles las intrusiones.

Qué deben hacer las organizaciones ahora

El FBI y el USSS son claros en su llamamiento: las organizaciones afectadas deben identificar de inmediato los dispositivos comprometidos y recuperar el control. Pero eso presupone que se sabe que se está afectado, algo que está lejos de ser evidente cuando los atacantes ocultan activamente sus huellas y bloquean al personal de TI.

Desde la perspectiva del desarrollo de sistemas, hay algunas lecciones difíciles de ignorar:

La exposición es una deuda. Todo dispositivo conectado a internet que no se gestiona ni se actualiza de forma activa es un posible punto de entrada. Los productos de Fortinet son conocidos y muy estudiados, tanto por investigadores de seguridad legítimos como por atacantes.

Las contraseñas reutilizadas y filtradas siguen siendo un problema masivo. Que los atacantes combinen antiguas brechas de datos con ataques de fuerza bruta y tengan éxito, a esta escala, dice mucho sobre lo deficiente que sigue siendo la higiene de contraseñas en muchas organizaciones, incluidas algunas que deberían saber hacerlo mejor.

La infraestructura crítica no está protegida por ser compleja. Al contrario: cuanto más complejo es un entorno, más difícil resulta saber qué está expuesto.

Hay también una observación estructural que merece hacerse: este tipo de intermediarios de acceso, actores que se especializan en entrar y después vender ese acceso a terceros, se han convertido en una parte cada vez más importante del ecosistema criminal. Reducen el umbral para otros atacantes, incluidos los que carecen de la competencia técnica necesaria para llevar a cabo las intrusiones por sí mismos.

FortiBleed no es un hecho aislado. Es un síntoma de un patrón más amplio en el que la infraestructura de red expuesta se cartografía, se explota y se vende sistemáticamente, a escala industrial.