Hasta medio millón de cuentas VPN (Virtual Private Network), de la empresa Fortinet de más de 12 mil dispositivos se han visto comprometidos a través de un mercado negro alojado en la Dark Web

Dicha filtración se ha realizado a través del foro conocido como RAMP, un mercado negro accesible a través de la red TOR, y por un usuario denominado Orange. Este internauta es administrador de dicho foto y, anteriormente, un operador relacionado con el ransomware Babuk.

Los datos filtrados de Fortinet son de carácter extremadamente sensibles, incluyéndose correos, contraseñas e IPs. Además, sorprende que el autor de la exposición de estos datos no haya buscado ningún beneficio económico, por lo que se cree que bien podría haberlo hecho para promocionar el mercado negro antes mencionado.

Por otra parte, este suceso también ha tenido la aprobación de otros grupos de ciberdelincuentes, como el grupo de ransomware Groove. Este ha compartido en su foro la dirección dónde se encuentra la base de datos filtrada.

Los atacantes habrían explotado la vulnerabilidad, Fortinet CVE-2018-13379 para recopilar las víctimas.

• https://www.fortinet.com/blog/psirt-blogs/malicious-actor-discloses-fortigate-ssl-vpn-credentials
  

El análisis del archivo muestra que contiene credenciales de VPN para 498,908 usuarios en 12,856 dispositivos.

Si bien no no se ha comprobado una por una si las credenciales filtradas son válidas, si se puede confirmar que todas las direcciones IP son servidores VPN de Fortinet.

Un análisis más detallado realizado por Advanced Intel muestra que las direcciones IP son para dispositivos en todo el mundo, con 2.959 dispositivos ubicados en los EE. UU. 

74 países, incluidos India, Taiwán, Italia, Francia e Israel. "2.959 de las 22.500 víctimas son entidades estadounidenses", dijeron los investigadores. 

Recomendaciones - Mitigaciones

Si eres un administrador de sistemas y trabajas con el servicio de VPNs de FortiNet, sería recomendable seguir las siguientes buenas prácticas.

• Comparar los datos de la empresa con los de la base de datos para ver si se ha podido ver comprometida directamente.
• Reestablecer (reset) la contraseña de todos los usuarios para evitar futuros ataques.
• Actualizar con los últimos parches de seguridad de FortiNet.

Fuentes:

https://unaaldia.hispasec.com/2021/09/expuestas-medio-millon-de-cuentas-vpn-de-fortinet.html

https://www.bleepingcomputer.com/news/security/hackers-leak-passwords-for-500-000-fortinet-vpn-accounts/

https://www.advintel.io/post/groove-vs-babuk-groove-ransom-manifesto-ramp-underground-platform-secret-inner-workings