Une nouvelle alerte de cybersécurité attire l’attention sur FortiBleed Fortinet : des chercheurs en sécurité et des organisations nationales signalent une campagne à grande échelle visant des équipements Fortinet. L’objectif des attaquants est d’obtenir un accès via des identifiants déjà récupérés ou divulgués.
Si votre organisation utilise des pare-feu Fortinet FortiGate ou des environnements SSL-VPN, il est essentiel de vérifier rapidement les signes d’abus et d’évaluer l’impact potentiel.
Ce que l’on sait sur FortiBleed Fortinet
À l’heure actuelle, les informations disponibles indiquent qu’il ne s’agit pas d’une exploitation d’une nouvelle vulnérabilité récemment découverte. Les observateurs décrivent plutôt un scénario dans lequel des identifiants (noms d’utilisateur et mots de passe) déjà volés ou fuités sont réutilisés.
Les campagnes d’attaque combinent typiquement ces données avec des approches automatisées, par exemple :
- brute-force : des essais intensifs de mots de passe à grande échelle,
- credential stuffing : l’utilisation d’identifiants divulgués sur d’autres systèmes.
Selon les chercheurs, 30 000 à plus de 70 000 équipements Fortinet pourraient être concernés à l’échelle mondiale. Dans plusieurs cas, des ensembles de données contenant des identifiants valides ont été repérés, incluant des adresses e-mail et des mots de passe.
Comment les attaquants procèdent, d’après les observations
Après un premier accès, les attaquants chercheraient à intercepter ou collecter du trafic provenant des équipements Fortinet. Le but est d’obtenir des informations supplémentaires liées à l’authentification.
Une fois les identifiants en leur possession, ces derniers peuvent servir de base à un accès plus large au réseau interne. Autrement dit, la compromission ne se limiterait pas forcément à l’interface exposée : elle pourrait faciliter des mouvements ultérieurs.
Quelle est la situation pour votre organisation ?
Les autorités indiquent avoir informé plusieurs organisations à propos d’identifiants observés. Toutefois, comme l’ampleur complète de la campagne n’est pas encore entièrement clarifiée, il est possible que toutes les victimes potentielles n’aient pas été identifiées.
Par conséquent, la recommandation est d’effectuer un contrôle actif afin de vérifier si votre organisation figure dans des ensembles connus. Une plateforme de vérification est évoquée dans l’alerte ; elle permet d’évaluer si des identifiants associés à votre structure ont pu être compromis.
Pourquoi il faut analyser le risque et l’impact
Il n’est pas établi, pour chaque organisation, quelles actions ont été menées après le premier accès. Ainsi, même si des identifiants apparaissent dans des données connues, il n’est pas possible de conclure automatiquement à une compromission ou à l’étendue réelle des dommages.
La bonne approche consiste donc à mener une analyse des risques et de l’impact propre à votre contexte, en vous concentrant sur des indicateurs concrets.
Actions prioritaires à mener dès maintenant
Voici les mesures recommandées pour réduire le risque et détecter une éventuelle activité malveillante. Adaptez-les à votre environnement et à vos procédures internes.
1) Réinitialiser les mots de passe et les moyens d’authentification
Pensez à réinitialiser les mots de passe et autres mécanismes d’authentification des comptes administrateurs et utilisateurs. L’alerte cite notamment les clés SSH parmi les éléments à considérer.
En complément, évaluez l’intérêt de mettre fin aux sessions actives, en particulier pour les sessions SSL-VPN et les sessions administratives.
2) Passer vos journaux au crible
Ensuite, examinez les logs à la recherche d’un comportement inhabituel. Cherchez notamment :
- des tentatives de connexion suspectes,
- des adresses IP inconnues,
- des lieux sources inattendus,
- des horaires de connexion inhabituels.
Pour une investigation pertinente, prenez en compte des sources telles que : Fortinet, Active Directory, LDAP, RADIUS, SSH et tout autre journal lié à l’authentification.
Selon votre architecture, vous pouvez aussi envisager :
- le whitelisting IP pour limiter les accès,
- l’exigence de la Multi-Factor Authentication (MFA) pour les comptes administrateurs et utilisateurs.
3) Vérifier l’apparition de nouveaux comptes
Contrôlez s’il existe des comptes nouvellement créés ou anormaux. Concentrez-vous sur plusieurs catégories :
- comptes Fortinet,
- comptes de domaine,
- comptes locaux,
- comptes de service,
- comptes liés à SSH.
Des créations inattendues constituent souvent un indicateur utile d’activité post-compromission.
4) Revoir l’accès SSH et son exposition
Vérifiez si l’accès SSH est activé sur votre équipement Fortinet. Évaluez ensuite la nécessité d’une exposition directe à Internet.
Dans la mesure du possible, limitez les interfaces d’administration aux environnements internes ou à des adresses IP source autorisées. L’objectif est de réduire la surface d’attaque.
5) Examiner la configuration de hachage des mots de passe
L’alerte recommande de contrôler si votre organisation utilise le schéma Password-Based Key Derivation Function 2 (PBKDF2) pour le stockage des mots de passe des comptes administrateurs.
Elle indique aussi de supprimer les méthodes de hachage plus anciennes ou moins sûres, conformément aux recommandations de Fortinet. Cela renforce la protection des comptes contre des attaques ciblant les empreintes de mots de passe.
Signaux supplémentaires observés : collecte de trafic
Dans plusieurs cas, les chercheurs ont constaté que des attaquants pouvaient collecter des données réseau depuis les systèmes Fortinet via des packet captures. Cela signifie qu’en plus des tentatives d’authentification, des informations complémentaires auraient pu être extraites.
Surveillez donc attentivement les journaux et les événements relatifs au réseau et à l’authentification, afin de repérer d’éventuelles anomalies.
Suivi de l’alerte et importance de l’action
Les informations autour de FortiBleed Fortinet sont susceptibles d’évoluer au fil des enquêtes. Les autorités indiquent qu’elles mettront à jour le message lorsque de nouveaux éléments seront disponibles.
En attendant, la priorité reste la même : contrôler votre environnement, repérer des signes d’abus et appliquer les mesures de réduction du risque proposées. Même si l’on ne dispose pas encore d’un panorama complet, une action rapide peut limiter la probabilité d’impact.
Conclusion
FortiBleed Fortinet met en avant une campagne d’abus centrée sur des identifiants déjà obtenus, avec des tentatives automatisées comme le brute-force et le credential stuffing. Pour protéger votre organisation, commencez par vérifier votre exposition SSL-VPN et administrateur, réinitialisez les identifiants concernés, puis auditez vos logs et la création de comptes.
En combinant contrôles, durcissement de la configuration et détection d’anomalies, vous améliorez fortement vos chances d’identifier une activité suspecte et de limiter les conséquences.
Source: https://www.ncsc.nl/alerts/fortibleed-duizenden-fortinetsystemen-mogelijk-geraakt
