استهدفت حملة سيبرانية ضخمة تُعرف باسم ‘FortiBleed’ أكثر من 320,000 من أجهزة جدار الحماية فورتينت (Fortinet) حول العالم، مما أدى إلى تسريب آلاف بيانات الاعتماد الإدارية. وأكد باحثو الأمن السيبراني أن المهاجمين نجحوا في التحقق من 75,000 من بيانات الاعتماد الصالحة لواجهات الإدارة وشبكات VPN.
وأثر هذا الحادث الأمني على العديد من الشركات العالمية الكبرى، بما في ذلك سامسونج (Samsung) وأوراكل (Oracle) وسبوتيفاي (Spotify) وسوني (Sony). وكان الباحث فولديمير “بوب” دياشينكو (Volodymyr “Bob” Diachenko) أول من كشف عن هذه البيانات، والتي جرى تحليلها لاحقاً بواسطة شركتي الأمن السيبراني هادسون روك (Hudson Rock) وسوك رادار (SOCRadar).
آلية عمل حملة FortiBleed
وتحديداً، تعمل هذه العملية كحلقة تغذية ذاتية حيث يقوم المهاجمون بفحص الإنترنت بحثاً عن الأجهزة المكشوفة. ثم يختبرون كل جهاز مقابل قائمة مخصصة من كلمات المرور المسربة من اختراقات سابقة وسجلات برامج سرقة المعلومات. وبمجرد نجاح تسجيل الدخول، يتم تحويل الجهاز المخترق إلى نقطة تنصت لمراقبة حركة المرور وجمع بيانات اعتماد جديدة.
ونتيجة لذلك، يتم إدخال بيانات الاعتماد الجديدة هذه مباشرة في الفاحص الآلي لاستهداف المزيد من الأنظمة. وتتيح هذه الدورة المستمرة للمهاجمين توسيع قاعدة بياناتهم بسرعة دون الحاجة إلى تدخل يدوي لكل هدف.
نطاق الهجوم على أجهزة جدار الحماية فورتينت
ومن الواضح أن نطاق الحملة التي تستهدف أجهزة جدار الحماية فورتينت واسع للغاية. حيث نفذ المهاجمون ما يقدر بنحو 1.16 مليار محاولة استخدام لبيانات الاعتماد ضد 320,000 هدف. بالإضافة إلى ذلك، شنوا 2.1 مليار محاولة اختراق بالقوة القسرية ضد 160,000 خادم MSSQL.
وخلال عمليات التسلل الأعمق للشبكة، يقوم المهاجمون باعتراض رموز مصادقة SSL VPN. ثم يتم فك تشفير هذه الرموز باستخدام مجموعة مخصصة مكونة من 45 وحدة معالجة رسومية (GPU)، مما يسمح لهم بالانتقال داخل أنظمة Active Directory الداخلية للشركات.
التأثير العالمي والشبكات المخترقة
وفي الوقت نفسه، أكد دياشينكو حدوث اختراقات كاملة للشبكات في عدة دول، بما في ذلك اليابان وتايوان وفيتنام والعراق وتركيا. وفي تركيا، تم اختراق متعاقد دفاعي تابع لحلف الناتو، مما أسفر عن سرقة وثائق دفاعية سرية.
علاوة على ذلك، يشير استهداف شبكات الشركات الكبرى إلى أن المهاجمين يركزون على الأصول ذات القيمة العالية. وتتيح بيانات الاعتماد المخترقة وصولاً مستمراً إلى الاتصالات الداخلية الحساسة وبيانات الشركات الخاصة في هذه المناطق الدولية.
خطوات الحماية الموصى بها
وبناءً على ذلك، يُنصح المؤسسات التي تستخدم أجهزة جدار الحماية فورتينت باتخاذ تدابير وقائية فورية. ويوصي خبراء الأمن بتغيير جميع بيانات اعتماد VPN والإدارة، وفرض المصادقة ثنائية العوامل (MFA) على جميع البوابات الخارجية.
علاوة على ذلك، يجب على مسؤولي الأنظمة تقييد الوصول الإداري إلى مصادر معتمدة فقط، وتقسيم الشبكات الداخلية، ومراجعة سجلات البوابة بحثاً عن أي عمليات تسجيل دخول غير عادية. كما وفرت شركة هادسون روك أداة مجانية للبحث عن النطاقات لمساعدة المؤسسات في التحقق من تعرضها للاختراق.
المصدر: X (@IntCyberDigest)
