Sintesi

Questo CSIRT ha recentemente rilevato la diffusione di un dataset riconducibile a una campagna denominata “ FortiBleed ”, contenente informazioni associate a dispositivi Fortinet/FortiGate esposti su Internet e utilizzati per l’accesso remoto tramite SSL-VPN.

Tipologia

Information Disclosure

Descrizione e potenziali impatti

La campagna denominata “FortiBleed” evidenzia un rischio concreto per le organizzazioni che espongono su Internet apparati Fortinet/FortiGate non aggiornati, in particolare laddove risultino pubblicamente raggiungibili servizi SSL-VPN o interfacce amministrative.

Il threat actor avrebbe effettuato attività di ricognizione su larga scala finalizzate all’individuazione di istanze Fortinet esposte sulla rete pubblica e accessibili dall’esterno, con particolare attenzione ai dispositivi per i quali l’interfaccia di management FortiGate risulta direttamente accessibile da Internet. L’accesso iniziale potrebbe essere stato ottenuto tramite tecniche di abuso delle credenziali (es. credential stuffing , password spraying , brute force e riuso di credenziali provenienti da compromissioni precedenti), senza escludere il possibile sfruttamento di vulnerabilità note su sistemi non aggiornati o non adeguatamente protetti. Ulteriori attività di credential harvesting e possibili debolezze nei meccanismi di gestione delle credenziali (es. legacy hashing ) potrebbero aver contribuito alla disponibilità di credenziali valide utilizzate nella campagna.

Una volta ottenuto l’accesso iniziale alla rete interna, la campagna può evolvere tramite scansioni automatizzate volte a individuare eventuali ulteriori asset dell’ecosistema Fortinet non aggiornati. In questa fase possono configurarsi tentativi di movimento laterale tramite lo sfruttamento di vulnerabilità note per l’esecuzione di codice da remoto (RCE) e il bypass dell’autenticazione, in particolare su istanze:

• FortiSandbox: CVE-2026-39808, CVE-2026-39813, CVE-2026-25089;
• FortiClient EMS: CVE-2026-21643, CVE-2026-35616.

Ulteriori vulnerabilità Fortinet, anche di natura storica, che potrebbero aver contribuito indirettamente al contesto di esposizione delle credenziali o essere sfruttate in fasi successive della compromissione, tra cui:

• CVE-2018-13379
• CVE-2022-42475
• CVE-2023-27997
• CVE-2024-21762
• CVE-2024-55591
• CVE-2025-59718
• CVE-2026-25815

Da un ’ analisi eseguita sui file rilasciati dall’attore malevolo è emerso che sono presenti evidenze riconducibili anche ad asset e organizzazioni italiane. Inoltre, parte delle informazioni presenti nei file potrebbe derivare da export di configurazione degli apparati. Tale scenario risulta particolarmente critico, in quanto i file di configurazione possono contenere informazioni sensibili relative a utenze locali, gruppi di accesso, configurazioni SSL-VPN, policy firewall, oggetti di rete, indirizzamenti interni, server di autenticazione e ulteriori parametri utili alla compromissione dell’infrastruttura.

La disponibilità di credenziali SSL-VPN potenzialmente valide potrebbe consentire a un attaccante di autenticarsi ai servizi VPN esposti e ottenere un accesso iniziale alla rete interna dell’organizzazione. Un accesso effettuato tramite canali apparentemente legittimi può ridurre la capacità di rilevamento da parte dei sistemi di sicurezza perimetrali e favorire successive attività ostili, tra cui movimento laterale, modifica delle configurazioni, creazione di utenze non autorizzate, esfiltrazione di dati o distribuzione di malware.

Azioni di mitigazione

Gli utenti e le organizzazioni possono ridurre il rischio di compromissione valutando l’implementazione delle seguenti misure preventive:

• aggiornare tempestivamente gli apparati Fortinet/FortiGate esposti su Internet alle versioni più recenti supportate dal vendor;
• verificare l’eventuale esposizione pubblica di interfacce amministrative e pannelli di gestione FortiGate;
• rimuovere l’esposizione diretta su Internet delle interfacce amministrative, consentendo l’accesso esclusivamente da reti interne, indirizzi IP autorizzati, jump host o canali VPN dedicati;
• ruotare le credenziali amministrative e SSL-VPN associate agli apparati potenzialmente coinvolti, verificando l’eventuale riutilizzo delle stesse su altri sistemi aziendali ed imponendo contestualmente policy per l’implementazione di password robuste ( strong password policies );
• abilitare l’autenticazione multifattore resistente al phishing ( phishing-resistant MFA ) per tutti gli accessi VPN e amministrativi, con particolare attenzione agli account privilegiati, garantendone l’applicazione restrittiva su tutti i gateway esterni e le interfacce di gestione;
• disabilitare utenze locali, legacy, condivise o non più necessarie;
• verificare la presenza di modifiche non autorizzate a configurazioni VPN, policy firewall, route statiche, oggetti di rete, gruppi di accesso e server di autenticazione;
• analizzare i log SSL-VPN e amministrativi per individuare accessi anomali, login da indirizzi IP o aree geografiche non coerenti, tentativi di autenticazione falliti ed eventuali esportazioni di configurazione non autorizzate;
• integrare i log Fortinet/FortiGate nei sistemi di monitoraggio e SIEM aziendali, configurando alert su accessi VPN sospetti, modifiche amministrative ed eventi di autenticazione anomali;
• valutare la progressiva rimozione dell’accesso remoto basato su SSL-VPN e la migrazione verso IPsec VPN, anche in considerazione dell’evoluzione introdotta da Fortinet a partire da FortiOS 7.6.3;
• terminare forzatamente tutte le sessioni SSL-VPN e le sessioni amministrative attive e revocare i token di autenticazione correnti, in modo da interrompere la persistenza di sessioni non autorizzate già stabilite prima della rotazione delle credenziali o dell’applicazione delle patch;
• estendere con urgenza le attività di vulnerabiliy assessment e installazione delle patch di sicurezza anche agli asset dell’ecosistema interno (specificamente FortiSandbox e FortiClient EMS), al fine di neutralizzare la catena di exploit automatizzata utilizzata dagli attaccanti per il movimento laterale post-accesso;
• garantire l’adozione dell’algoritmo PBKDF2 ( Password-Based Key Derivation Function 2 ) per l’archiviazione sicura delle credenziali degli amministratori su FortiOS (funzionalità disponibile a partire da FortiOS v7.2.11 e successive), provvedendo alla rimozione attiva degli hash legacy, più deboli, in conformità con le linee guida del vendor.

Azioni di Verifica/Monitoraggio

Al fine di identificare potenziali evidenze di sfruttamento e la conseguente esfiltrazione di informazioni sensibili, si raccomanda di valutare una verifica retrospettiva sui log dei dispositivi Fortigate.

Un eventuale attività di esfiltrazione della configurazione potrebbe comportare la presenza di tracce nei log di sistema; risulta quindi necessario procedere come elencato di seguito:

• accedere alla sezione System > Events della console di gestione di FortiOS;
• filtrare i messaggi utilizzando la stringa chiave config (oppure *config*: la stringa esatta può variare leggermente in base alla versione specifica di FortiOS in uso);
• identificare i messaggi che notificano l’avvenuta esportazione della configurazione del dispositivo;
• analizzare puntualmente l’account utente associato ad ogni evento di esportazione. Prestare, quindi, attenzione a:
• eventi relativi ad account amministrativi (Admin) in orari anomali o da IP non censiti nelle ACL di gestione;
• attività eseguite da account dedicati alle REST API , che potrebbero essere stati abusati o creati ad hoc dagli attaccanti a seguito del furto delle credenziali iniziali;
• estendere le attività di monitoraggio e revisione dei log ai Domain Controller aziendali, alla ricerca di potenziali anomalie di accesso, account sospetti o evidenze di movimenti laterali avvenuti dopo l’autenticazione iniziale sui gateway VPN.

In caso di riscontro positivo, si raccomanda di avviare tempestivamente attività di incident response, includendo acquisizione e conservazione dei log, rotazione completa delle credenziali, revisione delle configurazioni, verifica degli accessi VPN e analisi di eventuali movimenti laterali successivi all’autenticazione remota. Qualora l’evento configuri un incidente di sicurezza, si raccomanda di procedere alla relativa notifica allo CSIRT Italia secondo le modalità previste.

In assenza di indicatori di compromissione puntuali e pubblicamente verificabili, si raccomanda di non basare le attività di rilevamento esclusivamente su IoC, ma di procedere con attività di exposure management, hardening degli apparati, analisi dei log VPN/amministrativi e hunting comportamentale.