威脅者分享 49 萬多個易受攻擊的 Fortinet VPN 的 IP 列表

一名為“pumpedkicks”的威脅者在網上泄露了一份清單，可以用來從近5萬臺Fortinet VPN設備竊取VPN證書。

銀行安全部門的研究人員首先報告了49,577個易受Fortinet SSL VPN CVE-2018-13379攻擊的ip。

該列表包括世界各地的大型企業，金融機構和政府組織的設備。

列表中包含的Fortinet VPN設備容易受到CVE-2018-13379的攻擊，CVE-2018-13379是FortiOS SSL VPN Web門戶中的路徑遍歷漏洞，未經身份驗證的攻擊者可能會利用該漏洞下載FortiOS系統文件，并上傳惡意修改系統上的文件。未打補丁的系統，并接管Fortinet VPN服務器。

受歡迎的研究人員AX Sharma分析了威脅者共享的漏洞，他解釋說，這可能允許攻擊者從FortiNet vpn訪問sslvpn_websession文件，以竊取登錄憑證。

一旦獲得了竊取的憑據，攻擊者就可以使用它們來訪問目標網絡并執行多種惡意操作，例如手動發送惡意軟件和勒索軟件。

自2019八月，流行的網絡安全專家Kevin Beaumont已經報道這種威脅者試圖利用FortiOS SSL VPN門戶網站中的CVE-2018-13379和Pulse Connect Secure中的CVE-2019-11510漏洞。

CISA和FBI最近觀察到APT參與者實施的攻擊，其中結合了兩個CVE-2018-13379和CVE-2020-1472漏洞。

政府專家解釋說，攻擊者正在結合這兩個漏洞來劫持Fortinet服務器，并將其用作政府網絡的入口點，然后使用Zerologon漏洞接管內部網絡，以破壞所有Active Directory（AD）身份服務。

根據Ax Sharma的說法，易受攻擊的Fortinet vpn包括超過40個IP，這些IP屬于主要的銀行、金融和政府組織。

該發現最令人擔憂的方面是，盡管CVE-2018-13379是眾所周知的漏洞，但許多組織尚未在公開披露后的兩年內對其進行修復。

這意味著受影響的組織無法實施有效的補丁程序管理過程。