CIBERDELINCUENTES VULNERAN FORTIOS SSL-VPN

16/01/2023

BOLETÍN NRO 2023-004

Fortinet ha informado esta semana de que una vulnerabilidad recientemente parcheada y rastreada como CVE-2022-42475 ha sido explotada en ataques muy selectivos dirigidos a organizaciones gubernamentales.

Servicios Afectados

• FortiOS versión 7.2.0 a 7.2.2

• FortiOS versión 7.0.0 a 7.0.8

• FortiOS versión 6.4.0 a 6.4.10

• FortiOS versión 6.2.0 a 6.2.11

• FortiOS versión 6.0.0 a 6.0.15

• FortiOS versión 5.6.0 a 5.6.14

• FortiOS versión 5.4.0 a 5.4.13

• FortiOS versión 5.2.0 a 5.2.15

• FortiOS versión 5.0.0 a 5.0.14

• FortiOS-6K7K versión 7.0.0 a 7.0.7

• FortiOS-6K7K versión 6.4.0 a 6.4.9

• FortiOS-6K7K versión 6.2.0 a 6.2.11

• FortiOS-6K7K versión 6.0.0 a 6.0.14

• FortiProxy versión 7.2.0 a 7.2.1

• FortiProxy versión 7.0.0 a 7.0.7

• FortiProxy versión 2.0.0 a 2.0.11

• FortiProxy versión 1.2.0 a 1.2.13

• FortiProxy versión 1.1.0 a 1.1.6

• FortiProxy versión 1.0.0 a 1.0.7

Detalles Tecnicos

CVE: CVE-2022-42475                                    Severidad:   CRÍTICA

El fallo de seguridad que afectaba a FortiOS SSL-VPN y que permitía a un atacante remoto no autenticado ejecutar código o comandos arbitrarios utilizando peticiones especialmente diseñadas fue denominada como CVE-2022-42475.

La existencia de la vulnerabilidad se dio a conocer el 12 de diciembre de 2022, cuando Fortinet advirtió de que tenía constancia de su explotación. 

En una entrada de blog publicada esta semana, el Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) de Fortinet compartió detalles adicionales, incluida la muestra de malware entregada en los ataques observados, así como el tráfico de red relacionado.

La información obtenida del exploit sugiere que se trata de un grupo de ciberdelincuentes con muchos recursos y que está altamente dirigido a objetivos gubernamentales o relacionados con el gobierno.

Cuando la existencia de CVE-2022-42475 fue informada, un investigador de seguridad informática dijo que parecía haber sido explotado por un grupo de ransomware, pero después de que surgiera información adicional, el experto dijo que en realidad podría haber sido un grupo patrocinado por un estado disfrazando sus actividades como una operación de ransomware.

De acuerdo con la nueva información compartida por Fortinet, los ciberdelincuentes usaron una variante de un malware genérico de Linux personalizado para atacar su sistema operativo FortiOS.

Aunque algunos de los payloads no pudieron recuperarse, la compañía indicó que los atacantes intentaban ejecutar comandos, descargar componentes maliciosos adicionales en los sistemas comprometidos y manipular la funcionalidad de registro de FortiOS.

En cuanto a los registros, el malware desplegado en el ataque intentó parchear el proceso de registro de FortiOS en un esfuerzo por alterar los registros y evadir la detección. El malware también es capaz de finalizar el proceso de registro.

Según los datos del Catálogo de Vulnerabilidades Explotadas Conocidas de CISA, un total de nueve vulnerabilidades de productos Fortinet han sido explotadas en ataques desde 2018.

Indicadores de Compromiso

IP

193[.]36[.]119[.]61

107[.]148[.]27[.]117

137[.]175[.]30[.]138

139[.]180[.]184[.]197

139[.]99[.]35[.]116

139[.]99[.]37[.]119

155[.]138[.]224[.]122

156[.]251[.]162[.]76

156[.]251[.]163[.]19

158[.]247[.]221[.]101

176[.]223[.]165[.]196

185[.]174[.]136[.]20

194[.]62[.]42[.]105

45[.]86[.]229[.]220

45[.]86[.]231[.]71

66[.]42[.]91[.]32

87[.]120[.]254[.]100

87[.]120[.]37[.]68

Hash

MD5: 3191cb2e06e9a30792309813793f78b6

SHA-256: 0184e3d3dd8f4778d192d07e2caf44211141a570d45bb47a87894c68ebebeabb

MD5: 856341349dd954d82b112ba9165c4563

SHA-256: 23f2536aec6a4977a504312ff5863468ba2900fece735acd775d0ae455b4cd4d

MD5: 54bbea35b095ddfe9740df97b693627b

SHA-256: 61aae0e18c41ec4f610676680d26f6c6e1d4d5aa4e5092e40915fe806b679cd4

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Actualizar los dispositivos de Fortinet a las versiones recomendadas por el proveedor para mitigar la vulnerabilidad.

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Fortinet Says Recently Patched Vulnerability Exploited to Hack Governments
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​