Un firewall censé garder la maison, transformé en paillasson pour ransomwares. Selon la société de threat intelligence SOCRadar, la vulnérabilité baptisée FortiBleed a servi de point d’entrée à 354 intrusions abouties sur des équipements FortiGate, avec au moins 12 déploiements de ransomware à la clé.
Points clés
- FortiBleed exfiltre les identifiants stockés sur les pare-feu FortiGate de Fortinet
- SOCRadar recense 354 intrusions abouties et au moins 12 déploiements de ransomware
- Les groupes INC et Lynx sont associés à ces attaques
Du vol d’identifiants à la prise d’otage
Le scénario est devenu un classique du genre. FortiBleed permet l’exfiltration d’identifiants stockés sur les pare-feu FortiGate de Fortinet. Une fois ces sésames dans la nature, les attaquants n’ont plus qu’à se connecter comme s’ils étaient chez eux, sans forcer la moindre serrure. Les 354 intrusions comptabilisées par SOCRadar ne relèvent pas de tentatives avortées : ce sont des compromissions menées à terme.
INC et Lynx dans la boucle
Sur ces intrusions, au moins 12 se sont conclues par le chiffrement des systèmes et une demande de rançon. Deux opérations de ransomware sont pointées du doigt : INC et Lynx, deux noms qui reviennent régulièrement dans les campagnes d’extorsion visant les entreprises. Le firewall, produit qu’on installe précisément pour dormir tranquille, se retrouve ici en tête de pont de l’attaque.
Les firewalls, cibles de choix
Les équipements de bordure comme les FortiGate concentrent les faveurs des attaquants pour une raison simple : ils sont exposés en permanence sur Internet et détiennent les clés d’accès au réseau interne. Une faille qui siphonne les identifiants d’un tel équipement offre un accès de qualité, discret et durable. La leçon, mille fois répétée mais rarement suivie, reste la même : patcher vite et faire tourner les identifiants dès qu’un doute plane.
