3 августа система мониторинга GreyNoise зафиксировала рекордный всплеск атак методом Bruteforce на SSL- VPN решения Fortinet. Более 780 уникальных IP-адресов атаковали защищённые шлюзы, что стало максимальным показателем за последние месяцы. Аналитики отмечают, что подобные всплески активности часто предшествуют обнаружению уязвимостей в продуктах атакуемого вендора - в 80% случаев уязвимости публикуются в течение шести недель после атаки.
Описание
Две волны атак с разными характеристиками
При анализе трафика за двухнедельный период исследователи выделили две отличающиеся волны атак. Первая волна, продолжавшаяся длительное время, использовала стабильный TCP-сигнатур и демонстрировала предсказуемую активность. Вторая волна началась 5 августа, отличалась резким стартом и совершенно иной TCP-сигнатурой. Именно эта волна привлекла особое внимание специалистов по кибербезопасности.
Неожиданный поворот: смена цели
Исследование показало, что если 3 августа атаки были направлены на профиль FortiOS, то уже 5 августа злоумышленники переключились на FortiManager, сохраняя при этом сигнатуру brute force атак на SSL-VPN. Среди наиболее атакуемых стран за последние 90 дней лидируют Гонконг и Бразилия.
Домашняя IP-сеть как возможный источник
Дополнительный анализ позволил выявить интересную деталь: в июне была зафиксирована активность с уникальной клиентской сигнатурой, связанной с IP-адресом из домашней сети интернет-провайдера Pilot Fiber Inc. Это может указывать либо на тестирование инструментов взлома с домашней сети, либо на использование резидентского прокси. Хотя сервис Spur.us не классифицировал этот адрес как прокси или VPN, в AbuseDB были зафиксированы подозрительные активности, связанные с ним.
Ключевые выводы для специалистов по безопасности
Атаки методом brute force на решения Fortinet продолжают развиваться, демонстрируя изменения в тактике злоумышленников. Аналитики GreyNoise обнаружили переход от атак на FortiOS к целенаправленному воздействию на FortiManager всего через два дня после первоначального всплеска. Использование сигнатур JA4+ позволило связать текущие атаки с более ранними инцидентами и даже выявить возможный резидентский источник.
Эксперты напоминают, что подобные всплески активности часто служат индикатором будущих уязвимостей. Организациям, использующим продукты Fortinet, рекомендуется усилить мониторинг подозрительной активности и своевременно применять обновления безопасности. Список IP-адресов, связанных с последней волной атак, уже опубликован для блокировки.
Индикаторы компрометации
