Ataque dirigido a dispositivos FortiGate: sospecha de vulnerabilidad de día cero
El pasado 14 de enero de 2025, se reportó una campaña maliciosa que afecta a dispositivos FortiGate de Fortinet con interfaces de gestión expuestas a Internet. La alerta fue emitida por la empresa de ciberseguridad Arctic Wolf, tras detectar actividades sospechosas que podrían estar relacionadas con la explotación de una vulnerabilidad de día cero. Este incidente ha encendido las alarmas en la comunidad de ciberseguridad debido al uso avanzado de técnicas de ataque y a su potencial impacto en organizaciones que dependen de estos dispositivos para proteger sus redes.
Detalles del ataque
Según el informe inicial, los atacantes lograron:
Acceso administrativo no autorizado: Se detectó la creación de cuentas administrativas que permitieron a los atacantes tener control total sobre los dispositivos afectados.
Autenticación en SSL VPN: Utilizando las cuentas comprometidas, los atacantes establecieron conexiones seguras, eludiendo sistemas de detección.
Modificaciones en la configuración: Se realizaron cambios en los dispositivos para garantizar persistencia y ocultar sus actividades maliciosas.
Exfiltración de credenciales mediante DCSync: Esta técnica permite a los atacantes sincronizar las credenciales del Active Directory, otorgándoles acceso a múltiples sistemas en la red comprometida.
Aunque el vector de acceso inicial no ha sido confirmado, se sospecha de la explotación de una vulnerabilidad de día cero, dada la sofisticación de los ataques y la ausencia de patrones conocidos que expliquen el compromiso.
Impacto potencial
Los dispositivos FortiGate son ampliamente utilizados en redes corporativas y gubernamentales debido a su robustez y confiabilidad. Un compromiso de esta magnitud podría tener las siguientes implicaciones:
Riesgo de acceso no autorizado a redes sensibles: La explotación de estas vulnerabilidades podría permitir el robo de información crítica y el despliegue de malware.
Afectación a la continuidad del negocio: Las interrupciones causadas por ataques exitosos podrían impactar significativamente las operaciones de las organizaciones.
Cumplimiento regulatorio: Las entidades reguladas podrían enfrentar sanciones si no logran demostrar que han implementado controles adecuados para prevenir estos ataques.
Recomendaciones para mitigar el riesgo
Ante la sospecha de una vulnerabilidad de día cero, es fundamental que las organizaciones tomen medidas inmediatas para reducir su superficie de ataque. Entre las acciones recomendadas se incluyen:
Deshabilitar el acceso remoto a las interfaces de gestión: Configurar los dispositivos para que las interfaces de administración solo sean accesibles desde redes internas o mediante VPN confiables.
Aplicar segmentación de red: Asegurar que los dispositivos FortiGate estén protegidos por firewalls adicionales y segmentar las redes críticas.
Monitoreo continuo: Implementar sistemas de detección y respuesta a amenazas (EDR) para identificar actividades anómalas en tiempo real.
Revisar y limitar privilegios de usuario: Verificar que las cuentas administrativas tengan los mínimos privilegios necesarios y que se implementen contraseñas robustas.
Actualizar y aplicar parches: Aunque no se ha confirmado un parche específico para esta vulnerabilidad, mantener el firmware actualizado puede prevenir la explotación de fallos conocidos.
Reacción de Fortinet
Fortinet ha informado que está investigando activamente los informes relacionados con este ataque. La empresa recomienda a sus clientes seguir las mejores prácticas de configuración y seguridad, mientras se trabaja en una solución definitiva. Además, se espera que Fortinet publique un boletín de seguridad oficial en los próximos días.
Según el aviso de Fortinet, los siguientes productos y versiones son vulnerables a CVE-2024-55591:
- Fortinet FortiOS 7.0.0 a 7.0.16 (corregido en 7.0.17 o posterior)
- Fortinet FortiProxy 7.2.0 a 7.2.12 (corregido en 7.2.13 o posterior)
- Fortinet FortiProxy 7.0.0 a 7.0.19 (corregido en 7.0.20 o posterior)
Según Fortinet, otras versiones de FortiOS (6.4, 7.2, 7.4, 7.6) y FortiProxy (2.0, 7.4, 7.6) no se ven afectadas. Los clientes deben actualizar a una versión corregida de inmediato, sin esperar a que se produzca un ciclo de parches regular, y revisar los IOC de Fortinet para ayudar en las investigaciones sobre actividades sospechosas. Los indicadores incluyen ejemplos de usuarios administrativos o locales agregados por adversarios.
Los clientes también deben asegurarse de que las interfaces de administración del firewall no estén expuestas a la red pública de Internet y limitar las direcciones IP que pueden acceder a las interfaces administrativas. Si su organización se vio afectada por la fuga de datos del firewall FortiGate del 15 de enero de 2025, debe cambiar las contraseñas de los usuarios administrativos y locales de inmediato. FortiOS también admite la autenticación multifactor (MFA) para las cuentas de usuarios locales, que Rapid7 recomienda encarecidamente implementar.
Conclusión
Este incidente subraya la importancia de mantener una postura de seguridad proactiva y de limitar la exposición de los dispositivos críticos a Internet. Las organizaciones deben estar preparadas para responder rápidamente a amenazas emergentes, implementando controles robustos y adoptando tecnologías avanzadas de monitoreo y protección. A medida que se esclarecen los detalles de esta campaña, es esencial mantenerse informado y aplicar las medidas necesarias para proteger los entornos digitales.
