Giu 13, 2024 Attacchi, In evidenza, News, RSS, Vulnerabilità

Un gruppo state-sponsored di cyberattaccanti cinesi è riuscito ad compromettere almeno 20.000 firewall FortiGate di Fortinet in tutto il mondo sfruttando una vulnerabilità critica della soluzione.

Gli attacchi sono avvenuti tra il 2022 e il 2023 e hanno sfruttato la CVE-2022-42475, una vulnerabilità di heap-based buffer overflow che consente a un attaccante non autenticato di eseguire comandi o codice arbitrario da remoto.

“La ricerca dimostra che gli attaccanti dietro questa campagna erano a conoscenza di questa vulnerabilità nei sistemi FortiGate almeno due mesi prima che Fortinet la rendesse nota” scrive il Dutch National Cyber Security Centre (NCSC), il centro per la sicurezza nazionale olandese che ha scoperto l’attività del gruppo.

L’NCSC risposta che solo durante il periodo zero-day, gli attaccanti cinesi hanno infettato 14.000 dispositivi Fortigate colpendo obiettivi governativi occidentali, organizzazioni internazionali e un gran numero di aziende del settore della difesa. L’organizzazione olandese non ha rivelato i nomi degli obiettivi.

Dopo l’intrusione, il gruppo ha installato il malware COATHANGER per ottenere persistenza sui dispositivi compromessi ed eseguire ulteriori malware. L’NCSC afferma che le infezioni sono difficili da rimuovere: una volta installata, la backdoor non può essere rimossa neanche con gli aggiornamenti di sicurezza di Fortinet.

“A causa delle sfide legate alla sicurezza dei dispositivi edge, questi device sono un bersaglio popolare per i malintenzionati. I dispositivi edge si trovano ai margini della rete IT e hanno una connessione diretta a Internet. Inoltre, questi dispositivi spesso non sono supportati dalle soluzioni EDR” spiega il team di NCSC.

La vulnerabilità colpisce FortiOS SSL-VPN dalla versione 7.2.0 alla 7.2.2, dalla 7.0.0 alla 7.0.8, dalla 6.4.0 alla 6.4.10, dalla 6.2.0 alla 6.2.11, la 6.0.15 e precedenti, e FortiProxy SSL-VPN dalla 7.2.0 alla 7.2.1, oltre alla 7.0.7 e precedenti. I ricercatori invitano ad aggiornare il prima possibile i dispositivi ancora vulnerabili.

• backdoor, cyberattaccanti cinesi, firewall, FortiGate, fortinet, gruppi state-sponsored, vulnerabilità