FortiBleed: 74,000 Fortinet फायरवॉल सक्रिय एंटरप्राइज़ नेटवर्क हमलों में उजागर
TL;DR
FortiBleed: 74,000 Fortinet फायरवॉल हैकर्स के लिए कैसे एक खुला दरवाजा बन गए
सुरक्षा की दुनिया "FortiBleed" से दहल गई है, जो एक बड़े पैमाने पर क्रेडेंशियल हार्वेस्टिंग अभियान है, जिसने साइबर अपराधियों को एंटरप्राइज़ नेटवर्क की चाबियाँ सौंप दी हैं। हम किसी छोटी-मोटी गड़बड़ी की बात नहीं कर रहे हैं; हम 194 देशों में 73,932 Fortinet FortiGate फायरवॉल सिस्टम की बात कर रहे हैं, जिनके प्रशासनिक और VPN क्रेडेंशियल्स उजागर हो गए हैं। सरकारी एजेंसियों से लेकर बहुराष्ट्रीय निगमों तक, इसका प्रभाव चौंकाने वाला है। संवेदनशील कॉन्फ़िगरेशन डेटा और प्रमाणीकरण टोकन वर्तमान में आपराधिक मंचों पर बेचे जा रहे हैं।
इस ऑपरेशन के पीछे कौन है? एक रूसी भाषी खतरा समूह, जिसने न केवल इन क्रेडेंशियल्स को खोजा, बल्कि इंटरसेप्ट किए गए SSL VPN प्रमाणीकरण हैश को क्रैक करने के लिए विशेष रूप से एक शक्तिशाली, 45-GPU ऑफलाइन क्रैकिंग रिग का निर्माण किया। Bitsight के सुरक्षा शोधकर्ताओं ने पुष्टि की है कि यह केवल सिद्धांत नहीं है। अवसरवादी हैकर्स और परिष्कृत राज्य-प्रायोजित अभिनेता पहले से ही इस डेटा का उपयोग आंतरिक Active Directory वातावरण में सेंध लगाने के लिए कर रहे हैं।
तकनीकी "मूल पाप"
FortiBleed की समस्या के मूल में यह है कि FortiOS के पुराने संस्करण पासवर्ड हैशिंग को कैसे संभालते थे। पता चला है कि फर्मवेयर अपडेट लागू होने के बाद भी, प्रशासक पासवर्ड अक्सर सिस्टम में कमजोर SHA-256 हैश के रूप में बने रहते थे। जब तक उपयोगकर्ता भौतिक रूप से लॉग इन नहीं करता, तब तक इन्हें स्वचालित रूप से अधिक मजबूत PBKDF2 मानक में अपग्रेड नहीं किया जाता था। उस छोटे से अंतराल—"लॉगिन की प्रतीक्षा" की उस अवधि—ने हमलावरों को हैश को इकट्ठा करने और अपनी सुविधानुसार उन्हें क्रैक करने के लिए पर्याप्त समय दिया।
इसका पैमाना वास्तव में परेशान करने वाला है। इन अभिनेताओं ने FortiGate लक्ष्यों के खिलाफ 1.16 बिलियन से अधिक क्रेडेंशियल प्रयास किए, और MSSQL सिस्टम पर 2.1 बिलियन प्रयास किए। बैकग्राउंड में उस 45-GPU क्लस्टर के साथ, उन्होंने 21,600 से अधिक अलग-अलग डोमेन में 73,932 अद्वितीय फायरवॉल URL के लिए क्रेडेंशियल्स को सफलतापूर्वक मान्य किया। डेटा वास्तविक है, और यह खतरनाक है। Hudson Rock जैसे शोधकर्ता इस प्रसार को ट्रैक कर रहे हैं, और आम सहमति स्पष्ट है: यह जोखिम व्यापक और प्रणालीगत है।
निशाने पर कौन है?
विश्व स्तर पर इंटरनेट से जुड़े लगभग आधे FortiGate यूनिट्स इसकी चपेट में हैं। पीड़ितों की सूची में Fortune 500 कंपनियों के नाम शामिल हैं—Samsung, Siemens और Oracle सभी इसमें शामिल हैं, साथ ही विभिन्न सरकारी निकाय भी। एक विशेष रूप से भयावह घटना में, हमलावरों ने इन चोरी किए गए क्रेडेंशियल्स का उपयोग करके एक NATO रक्षा ठेकेदार के नेटवर्क में प्रवेश किया और संवेदनशील वर्गीकृत दस्तावेज चुरा लिए।
एक बार अंदर जाने के बाद, वे केवल बैठते नहीं हैं। वे निरंतरता बनाए रखने और आंतरिक नेटवर्क का नक्शा तैयार करने के लिए एक मानक टूलकिट तैनात कर रहे हैं। यदि आप एक सिस्टम एडमिन हैं, तो ये वे नाम हैं जिन्हें आपको खोजना चाहिए:
- Chisel: HTTP पर एक तेज़ TCP/UDP टनल जो फायरवॉल प्रतिबंधों को दरकिनार करना आसान बना देता है।
- Neo-reGeorg: पिवोटिंग और गहन टोही के लिए उपयोग किया जाने वाला एक खतरनाक वेब शेल।
- EternalBlue: एक बार आधार मिलने के बाद लेटरल मूवमेंट और विशेषाधिकार बढ़ाने के लिए क्लासिक विकल्प।
| मीट्रिक | विवरण |
|---|---|
| प्रभावित डिवाइस | 73,932 अद्वितीय FortiGate URL |
| वैश्विक पहुंच | 194 देश |
| प्राथमिक भेद्यता | कमजोर SHA-256 पासवर्ड हैशिंग |
| हमला बुनियादी ढांचा | 45-GPU क्लस्टर |
| देखी गई गतिविधि | आंतरिक AD डेटा का सक्रिय निष्कर्षण |
समस्या का समाधान
यदि आप FortiGate चला रहे हैं, तो आपको कल ही अपने फर्मवेयर स्थिति की जांच करनी चाहिए। यह भेद्यता 7.2.11, 7.4.8 और 7.6.1 से पहले के FortiOS संस्करणों पर चलने वाले उपकरणों को प्रभावित करती है। केवल हमारी बात पर भरोसा न करें; यह देखने के लिए साइबर थ्रेट इंटेलिजेंस फीड देखें कि क्या आपका बुनियादी ढांचा पहले से ही ऑनलाइन प्रसारित हो रहे लीक डेटासेट का हिस्सा है।
समाधान सीधा है लेकिन श्रम-साध्य है: अपने फर्मवेयर को नवीनतम पैच किए गए संस्करणों में अपडेट करें। ये संस्करण मजबूत पासवर्ड हैशिंग में बदलाव को मजबूर करते हैं। इसके अलावा, आपको अपने एडमिन खातों और VPN लॉग्स का ऑडिट करना होगा। जैसा कि Recorded Future ने बताया है, ये अभिनेता कहीं नहीं जा रहे हैं। आपको अपने हर क्रेडेंशियल को बदलना होगा और सार्वजनिक इंटरनेट के संपर्क में आने वाले हर प्रबंधन इंटरफ़ेस पर मल्टी-फैक्टर ऑथेंटिकेशन (MFA) लागू करना होगा।
क्रेडेंशियल्स की इस विशाल सूची की मेजबानी करने वाले सर्वर की खोज का श्रेय शोधकर्ता वोलोडिमिर "बॉब" डायचेंको को जाता है। उनका काम एक क्रूर वास्तविकता को रेखांकित करता है: एंटरप्राइज़-ग्रेड गियर में पुराने हैशिंग तरीकों पर भरोसा करना आपदा का निमंत्रण है। यदि आपके इंटरनेट-फेसिंग FortiGate डिवाइस को हाल ही में अपडेट नहीं किया गया है, तो आपको यह मान लेना चाहिए कि यह पहले से ही समझौता किया जा चुका है।
यह अभियान तरल है। ये समूह दबाव महसूस करते ही अपनी रणनीति बदल लेते हैं। आपका सबसे अच्छा बचाव पैचिंग का एक निरंतर चक्र और अपने नेटवर्क ट्रैफ़िक पर पैनी नज़र रखना है। Chisel या Neo-reGeorg पर नज़र रखें, विसंगतियों के लिए अपने आउटबाउंड ट्रैफ़िक की निगरानी करें, और लेटरल मूवमेंट के किसी भी संकेत पर नज़र रखें। इतने बड़े लीक के बाद, "ठीक-ठाक" सुरक्षा काम नहीं आएगी।
